Na criação, implantação e gestão de uma Política de Segurança da Informação − PSI,

as regras da PSI devem ser divulgadas de forma segmentada. Cada pessoa deve ter acesso apenas às regras que a atingem relativamente à sua função, ou seja, a PSI deve chegar à pessoa certa com as regras certas que ela precisa conhecer. O acesso integral à PSI deve ser impedido aos funcionários, sob pena de a própria PSI ser colocada em risco.

as regras da PSI devem ter força de lei. Uma vez que as regras da PSI tenham sido amplamente divulgadas, não pode haver violações, e caso haja, quem viola deve sofrer as consequências para que a PSI não perca credibilidade. A punição pode ser desde uma simples advertência verbal ou escrita até uma ação judicial.

a área de TI deve assumir as seguintes atividades e funções: escrever as regras para a PSI; definir atribuições, papéis e responsabilidades; detalhar os procedimentos para as violações da PSI; aprovar o documento com a PSI e as alterações propostas pela alta direção.

a área de TI deve realizar reuniões anuais com a alta direção para fazer uma análise crítica da PSI, considerando os incidentes relatados. No entanto, a PSI não deve ser alterada fora do período de 1 ano recomendado para as reuniões, a fim de que esta não seja comprometida pelo excesso ou escassez de controles.

o escopo deve ser apresentado apenas para os membros da alta direção, visando obter apoio e confiança na criação da PSI, pois somente com o apoio da alta gestão será possível aplicar as políticas criadas.