A papéis e responsabilidades pela segurança da informação devem ser definidos e alocados de acordo com os interesses dos setores operacionais.
B funções conflitantes e áreas de responsabilidade conflitantes devem ser segregadas.
C medidas de segurança devem ser implementadas somente para o trabalho presencial.
D os ativos fora das instalações da organização não precisam ser protegidos.
E ambientes de desenvolvimento, testes e produção não devem ser separados.