A conceção de políticas de segurança adequadas à realidade de cada organização requer a identificação e classificação dos ativos a proteger.

A identificação das necessidades de segurança é independente das características de cada organização e dos recursos envolvidos.

O processo de análise de risco deve ser aceite como parte integrante do processo de negócio da organização.

O sucesso das medidas de Segurança depende do comprometimento do Diretor de Segurança e do envolvimento das pessoas na prossecução dos seus objetivos.

A Segurança da Informação é um processo tecnológico.

A responsabilidade pela implementação de medidas ou controlos concentra-se num único departamento.

Os gestores funcionais / áreas de negócio consideram a Segurança da Informação / Cibersegurança da exclusiva responsabilidade do Chief Information Security Officer (CISO)/Chief Information Officer (CIO).

O CISO/CIO não dispõe de meios para assegurar a adequação e aplicação das políticas e diretivas de segurança.

O conselho de administração não se envolve em decisões estratégicas de Segurança da Informação / Cibersegurança e delega essa responsabilidade, considerando-se não qualificada.

O Conselho de Administração recebe relatórios regulares sobre Segurança da Informação / Cibersegurança.

Ameaças que atacam as redes

Condições atmosféricas

Desastres naturais

Malware

Falhas de energia

Roubo ou vandalismo