Segundo a norma ABNT NBR ISO 22301:2020, na parte que trata

A quais são os ativos e sistemas sensíveis e de quem é a responsabilidade pelo uso e resguardo desses ativos e sistemas.  B as partes interessadas que sejam pertinentes para o SGCN e os requisitos pertinentes dessas partes interessadas.  C políticas de backup, de recuperação de desastres, de contingência e de emergência.  D o escopo das políticas de segurança, os requisitos legais e regulamentares e a responsabilidade de colaboradores sobre todos os ativos de informação. E os objetivos gerais e específicos da organização, os níveis de risco aceitáveis e medidas para aceitação de riscos.