A uma prática comum é indicar um responsável por cada ativo para torná-lo responsável por sua proteção no dia a dia.
B a responsabilidade pela obtenção dos recursos e a implementação dos controles é do responsável do local.
C os gestores da empresa devem assumir a responsabilidade global pela implantação da segurança da informação.
D a atribuição das responsabilidades pela informação deve ser definida de forma independente da política de segurança da informação.
E pessoas com responsabilidades definidas pela segurança da informação não podem delegar as tarefas para outros usuários.