///
Com o objetivo de definir uma estrutura da área de segurança da informação em uma organização, é permitido utilizar somente recursos humanos próprios. Serviços de terceiros devem ser descartados, mesmo que eles possuam experiência comprovada na área de segurança da informação.