ISO 27002. política: intenções e diretrizes globais formalmente expressas pela direção
ISO 27001. A organização deve (...) definir uma política do SGSI nos termos das características do negócio, a organização, sua localização, ativos e tecnologia que:
1) inclua uma estrutura para definir objetivos e estabeleça um direcionamento global e princípios para ações
relacionadas com a segurança da informação;
2) considere requisitos de negócio, legais e/ou regulamentares, e obrigações de segurança contratuais;
3) esteja alinhada com o contexto estratégico de gestão de riscos da organização no qual o estabelecimento
e manutenção do SGSI irão ocorrer ;
4) estabeleça critérios em relação aos quais os riscos serão avaliados (ver 4.2.1c)); e
5) tenha sido aprovada pela direção.
Nenhuma das normas faz menção nem a medidas espefícas e nem a forma de implementá-las.