De acordo com a norma ISO/IEC 27001, ao estabelecer um...

utilizar o processo de análise de riscos apresentado na referida norma.

ter a política do SGSI determinada pelo escritório de segurança da informação da empresa.

ter o escopo do SGSI definido com base nos limites e nas aplicabilidades da referida norma.

justificar a omissão de controles necessários que estejam previstos na referida norma por meio do processo de tratamento dos riscos de segurança da informação.

conduzir suas auditorias internas em intervalos regulares, a partir dos critérios e do escopo definidos para cada uma delas.