Un ensemble de politiques de sécurité de l’information doit être défini, approuvé par la direction, diffusé et communiqué aux salariés et aux tiers concernés....

Les politiques doivent être revues à intervalles programmés ou en cas de changements majeurs pour garantir leur pertinence, leur adéquation et leur effectivité dans le temps....

La sécurité de l’information doit être considérée dans la gestion de projet, quel que soit le type de projet concerné....

Toutes les responsabilités en matière de sécurité de l’information doivent être définies et attribuées....

Les tâches et les domaines de responsabilité incompatibles doivent être cloisonnés pour limiter les possibilités de modification ou de mauvais usage, non autorisé(e) ou involontaire, des actifs de l’organisation....

Des relations appropriées avec les autorités compétentes doivent être entretenues....

Des relations appropriées avec des groupes d’intérêt, des forums spécialisés dans la sécurité et des associations professionnelles doivent être entretenues....

Une politique et des mesures de sécurité complémentaires doivent être adoptées pour gérer les risques découlant de l’utilisation des appareils mobiles....

Une politique et des mesures de sécurité complémentaires doivent être mises en oeuvre pour protéger les informations consultées, traitées ou stockées sur des sites de télétravail....

Des vérifications doivent être effectuées sur tous les candidats à l’embauche conformément aux lois, aux règlements et à l’éthique et être proportionnées aux exigences métier, à la classification des informations accessibles et aux risques identifiés....

Les accords contractuels entre les salariés et les sous-traitants doivent préciser leurs responsabilités et celles de l’organisation en matière de sécurité de l’information....

La direction doit demander à tous les salariés et sous-traitants d’appliquer les règles de sécurité conformément aux politiques et procédures en vigueur dans l’organisation....

L’ensemble des salariés de l’organisation et, quand cela est pertinent, des sous-traitants doit bénéficier d’une sensibilisation et de formations adaptées et recevoir régulièrement les mises à jour des politiques et procédures de l’organisation s’appliquant à leurs fonctions....

Un processus disciplinaire formel et connu de tous doit exister pour prendre des mesures à l’encontre des salariés ayant enfreint les règles liées à la sécurité de l’information....

Les responsabilités et les missions liées à la sécurité de l’information qui restent valables à l’issue de la rupture, du terme ou de la modification du contrat de travail, doivent être définies, communiquées au salarié ou au sous-traitant, et appliquées....

Les utilisateurs doivent avoir uniquement accès au réseau et aux services pour lesquels ils ont spécifiquement reçu une autorisation....