Segundo a norma complementar nº 04/IN01/DSIC/GSIPR, convém que o processo de Gestão de Riscos de Segurança da Informação e Comunicações
- A compreenda medidas que vão além da proteção dos ativos de informação, tais como processo disciplinar e desenvolvimento terceirizado.
- B esteja alinhado ao planejamento estratégico da organização e, também, com o processo maior de gestão de riscos corporativos, se esse existir.
- C busque identificar as necessidades da sociedade em relação aos requisitos de privacidade de dados, bem como criar uma política pública de comunicação eficaz.
- D considere, prioritariamente, os processos e a estrutura do órgão ou entidade da administração pública federal em detrimento dos objetivos estratégicos e dos requisitos legais.
- E seja esporádico e aplicado quando a entidade pública precisar de subsídios para dar suporte à implementação de medidas de proteção dos perímetros de segurança física.