É a etapa que da vida ao SGSI. Suas atividades devem estabelecer políticas, objetivos, processos e procedimentos para a gestão de segurança da informação. São os instrumentos estratégicos fundamentais para que a organização possa integrar suas a segurança da informação às políticas e objetivos globais da organização.
Requisitos da Norma ISO 27001 para esta etapa:
Definição do escopo do SGSI (a quais processos organizacionais, departamentos e partes interessadas se aplica). A Política do SGSI (que inclui objetivo, diretrizes, alinhamento ao negócio, critérios de avaliação de riscos, dentre outros aspectos). Abordagem de gestão (a metodologia da organização utilizada para identificação, análise, avaliação e tratamento de riscos). Objetivos de controle e controles selecionados (a empresa deve declarar quais medidas foram selecionadas para tratar a segurança da informação). Declaração de aplicabilidade (com os objetivos de controle selecionados). https://www.portalgsti.com.br/2016/12/sistema-de-gestao-de-seguranca-da-informacao-sgsi.html