As políticas de segurança da informação devem ser revistas a intervalos planejados ou quando mudanças significativas ocorrerem, para assegurar sua utilidade contínua, adequação e eficácia.

Todos os empregados da organização e, onde relevante, fornecedores, devem receber conscientização, educação e treinamento apropriado.

Procedimentos para o tratamento dos ativos devem ser desenvolvidos e implementados de acordo com o esquema de classificação da informação adotado pela organização.

Uma política sobre o uso, proteção e ciclo de vida das chaves criptográficas deve ser desenvolvida e implementada, no entanto, sem a necessidade de considerar todo o seu ciclo de vida.