Para a gestão dos ativos, segundo a norma NBR ISO/ IEC 27001:2006, são feitas as seguintes afirmativas: I - todos os ativos devem ser claramente identificados e um inventário de todos os ativos importantes deve ser estruturado e mantido; II - a informação deve ser classificada em termos do seu valor, requisitos legais, sensibilidade e criticidade para a organização; III - todas as informações e ativos associados com os recursos de processamento da informação devem ter um "proprietário" designado por uma parte definida da organização.