A Administração deve criar critérios de classificação das informações, a fim de que possam ter tratamento diferenciado conforme seu grau de importância, criticidade e sensibilidade, com observância da NBR ISO/IEC 27.002 (item 7.2), e em atenção ao Decreto 4.553/2002 (art. 6º, § 2º, inciso II, e art. 67).