Un ensemble de politiques de sécurité de l’information doit être défini, approuvé par la direction, diffusé et communiqué aux salariés et aux tiers concernés....

Les politiques doivent être revues à intervalles programmés ou en cas de changements majeurs pour garantir leur pertinence, leur adéquation et leur effectivité dans le temps....