Debido a la mayor sensibilidad de la información, las políticas y procedimientos de seguridad deben ser escritos y documentados.
La agencia escribirá y documentará sus políticas y procedimientos de seguridad.