A quais são os ativos e sistemas sensíveis e de quem é a responsabilidade pelo uso e resguardo desses ativos e sistemas.
B as partes interessadas que sejam pertinentes para o SGCN e os requisitos pertinentes dessas partes interessadas.
C políticas debackup, de recuperação de desastres, de contingência e de emergência.
D o escopo das políticas de segurança, os requisitos legais e regulamentares e a responsabilidade de colaboradores sobre todos os ativos de informação.
E os objetivos gerais e específicos da organização, os níveis de risco aceitáveis e medidas para aceitação de riscos.