A Administração deve possuir política de segurança da informação formalmente aprovada, observando as diretrizes da Norma Complementar 3/IN01/DSIC/GSIPR, as práticas dos itens 5.1.1 e 5.1.2 da NBR ISO/IEC 27002:2005, e à semelhança das orientações do objetivo de controle DS5.2 do Cobit 4.1. (Instrução Normativa 1/2008, art 5º, inciso VII, do Gabinete de Segurança Institucional da Presidência da República).