Qual dos seguintes é o documento que define o âmbito da segurança necessária por uma organização, que identifica e lista os ativos que necessitam de proteção, e que discute a extensão a que as medidas de segurança devem ser implementadas para oferecer a necessária proteção?