A É necessário definir o que deve ser protegido e o porquê.
B As responsabilidades pela proteção não devem ser definidas.
C As ameaças e as vulnerabilidades específicas a serem tratadas devem ser enumeradas.
D Os recursos tecnológicos que devem ser utilizados na proteção devem ser especificados.
E A política deve ser divulgada apenas entre os membros da administração superior da organização.