Organisasjonene betraktet informasjonssikkerhet som grunnlaget for deres informasjonssikkerhet programmer og grunnlaget for å vedta spesifikke prosedyrer og tekniske kontroller.
Disse organisasjonene ser ut til å være uvitende når det gjelder sikkerhetspolitikk og korrekte prosedyrer å følge.