A estabelecer uma estrutura para implantar controles e sistemas de gerenciamento de risco de comprometimento da informação relevante para o negócio.
B designar um gerente gestor com responsabilidade pelo desenvolvimento e pela análise crítica da política de segurança da informação.
C implantar um sistema de segurança e distribuição de chaves para acesso aos sistemas considerados críticos para a competitividade do negócio.
D prover uma orientação e o apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e com as leis e regulamentações relevantes.
E tornar públicos o comprometimento da direção com os propósitos da segurança da informação e o enfoque adotado no processo de gerenciamento da segurança da informação.