A sugerir a melhor tecnologia para ser usada na organização para garantir a confidencialidade, integridade e disponibilidade;
B ser divulgada logo após aprovação pelo comitê técnico de TI;
C especificar claramente o que é proibido, sendo permitido todo o restante;
D priorizar aspectos internos da organização, devendo normas legais externas serem aplicadas subsidiariamente;
E ser revisada regularmente, em especial quando ocorrerem mudanças significativas no ambiente da organização.