As políticas, normas e procedimentos de segurança da informação

a) não necessitam do envolvimento da alta administração, já que são responsabilidade da área de TI.

b) devem estar alinhadas com as estratégias de negócio da empresa, padrões e procedimentos já existentes.

c) devem ser concentradas exclusivamente em ações proibitivas e punitivas, para garantir a segurança dos recursos de informação e a responsabilização legal daqueles que infringirem as normas e procedimentos de segurança.

d) são criadas e implantadas pelo Comitê de Segurança da Informação, constituído na sua totalidade por profissionais das áreas administrativas e de Tecnologia da Informação.

e) devem abranger todos os serviços e áreas da organização e ser implantadas de uma única vez para minimizar a possível resistência de alguns setores da empresa.