Organisasjonene betraktet informasjonssikkerhet som grunnlaget for deres informasjonssikkerhet programmer og grunnlaget for å vedta spesifikke prosedyrer og tekniske kontroller.
Det er viktig å vedta spesifikke prosedyrer.