
Ciascuna azienda deve avere ben chiaro che la sicurezza non è un dispositivo, nè un singolo tool (hw o sw) bensì è un modo di pensare, di progettare e poi gestire il sistema informativo, i singoli componenti, funzioni e ruoli. L'implementazione di un sistema per la sicurezza delle informazioni deve provenire direttamente dall'Alta Direzione, dovendo essere incluso nei piani strategici dell'azienda, e dovendo essere esteso a tutti gli utenti dei sistemi informativi.