A esteja alinhada com o contexto estratégico de gestão de riscos da organização.
B seja escrita essencialmente com base em um modelo de SGSI padronizado para organizações de porte similar.
C inclua, em seu texto, um estudo detalhado dos riscos previamente avaliados.
D seja elaborada pela direção e formalmente aprovada pela maioria dos empregados da organização.
E seja totalmente independente de requisitos legais e desvinculada de obrigações contratuais.