A norma ISO 27001 indica que uma política global de segurança da informação deve ser estabelecida antes da elaboração de uma declaração de aplicabilidade de controles de segurança, mas somente após a realização de uma análise/avaliação de risco formal.