A é necessário que estas políticas sejam aprovadas por todos os funcionários.
B estas políticas só devem ser divulgadas e comunicadas aos funcionários internos da organização.
C é recomendável contemplar requisitos oriundos de ações operacionais, independente da estratégia do negócio.
D só devem ser contemplados requisitos oriundos do ambiente de ameaça da segurança da informação atual.
E é recomendável que estas políticas contenham requisitos oriundos de regulamentações, legislação e contratos.