A Administração deve elaborar e aprovar formalmente política de segurança da informação, observando as práticas do item 5 da Norma Técnica ABNT NBR ISO/IEC 27.002:2005 e à semelhança das orientações do Cobit 4.1, DS5.2 - Plano de Segurança de Tecnologia da Informação (TI) (Norma Complementar 3 do Gabinete de Segurança Institucional da Presidência da República).