Trata-se de um conjunto de diretrizes que visam à proteção das informações da organização e de seus clientes.

Trata-se de legislação externa que deve ser seguida por todos.

Deve sobrepor à legislação local do país.

Deve ser elaborada pelas áreas de TI da empresa.

Está hierarquicamente abaixo das normas da organização.