A a segurança da informação seja analisada criticamente em intervalos planejados ou quando mudanças significativas ocorrem.
B a segurança da informação seja considerada no gerenciamento de projetos, independente do tipo do projeto.
C existam procedimentos definidos para o gerenciamento de mídias removíveis, de acordo com o sistema de classificação da informação.
D um processo formal de registro e cancelamento de usuário seja definido para permitir atribuição dos direitos de acesso a esses usuários.
E exista um processo disciplinar formal implantado e comunicado, para tomar ações contra funcionários que tenham cometido violações de segurança da informação.