organisasjonene betraktet informasjonssikkerhet som grunnlaget for deres informasjonssikkerhet programmer og grunnlaget for å vedta spesifikke prosedyrer og tekniske kontroller
sikkerhetspolitikk er grunnlaget for disse organisasjonenes informasjonssikkerhet programmer
disse organisasjonene ser ut til å være uvitende når det gjelder sikkerhetspolitikk og korrekte prosedyrer å følge