O proprietário e a classificação da informação devem ser acordados e documentados para cada um dos ativos de informação. O mesmo nível de proteção deve ser identificado e aplicado a todos os ativos de informação.

Um sistema de classificação da informação deve ser usado para definir um conjunto apropriado de níveis de proteção e determinar a necessidade de medidas especiais de tratamento.

A informação deve ser classificada exclusivamente em termos do seu valor, sensibilidade e criticidade para a organização.

A responsabilidade de definir a classificação de um ativo, analisá-lo, e assegurar que ele esteja atualizado e no nível apropriado é de todos os funcionários da organização.

A informação nunca deixa de ser sensível ou crítica, mesmo quando se torna pública.