Para a institucionalização da Política de Segurança da Informação e Comunicações (POSIC) nos órgãos e entidades da Administração Pública Federal, de acordo com a Norma Complementar nº 03/IN01/DSIC/GSIPR, recomenda-se
- A implementá-la por meio da formalização e da aprovação, por parte de servidores, contratados e prestadores de serviço, de modo a demonstrar comprometimento.
- B que todos os instrumentos normativos gerados a partir da POSIC sejam revisados sempre que se fizer necessário, não excedendo o período máximo de seis meses.
- C divulgá-la exclusivamente aos contratados e terceirizados que habitualmente trabalham em órgãos da administração pública federal.
- D promover a cultura de segurança da informação e comunicações por meio de atividades de sensibilização, conscientização, capacitação e especialização.
- E manter o caráter orientativo em detrimento do punitivo, sem estabelecer termos de responsabilidade para os casos de violação da POSIC ou de quebra de segurança.