A conceção de políticas de segurança adequadas à realidade de cada organização requer a identificação e classificação dos ativos a proteger.

A identificação das necessidades de segurança é independente das características de cada organização e dos recursos envolvidos.

O processo de análise de risco deve ser aceite como parte integrante do processo de negócio da organização.

O sucesso das medidas de Segurança depende do comprometimento do Diretor de Segurança e do envolvimento das pessoas na prossecução dos seus objetivos.

A Segurança da Informação é um processo tecnológico.