ela não sugere e nem contempla a aplicação de um processo de avaliação de riscos de segurança da informação. Esse assunto é tratado em outra norma.

ela não sugere e nem contempla a avaliação de desempenho da segurança da informação. Esse assunto é tratado em outra norma.

segundo ela, a política de segurança da informação é uma informação confidencial, e deve estar totalmente disponível apenas para a Alta Direção.

a Alta Direção, segundo a referida norma, deve estabelecer uma política de segurança da informação que inclua os objetivos de segurança da informação ou forneça a estrutura para estabelecer os objetivos de segurança da informação.

segundo ela, a organização deve determinar como fazer as comunicações internas e externas. Isso inclui o que comunicar, quando comunicar e quem comunicar. Contudo, isso não inclui a determinação do processo pelo qual a comunicação será realizada.