Organisasi berkewajiban menjaga kerahasiaan (confidentiality), keutuhan (integrity) dan ketersediaan (availability) dari aset informasi;

Organisasi menerapkan sistem manajemen keamanan informasi yang mengacu berdasarkan standar ISO/IEC 27001:2022 didukung dengan kepatuhan terhadap peraturan atau undang-undang yang berlaku;

Organisasi menetapkan kebijakan keamanan informasi sebagai pedoman utama dalam melaksanakan sistem manajemen keamanan informasi di organisasi;

Organisasi memastikan strategi keamanan informasi dirumuskan, diimplementasikan, dan ditinjau secara berkala agar selaras dengan arah strategis, visi, misi, dan sasaran organisasi.

Organisasi mengkomunikasikan keamanan informasi baik dalam bentuk sosialisasi, edukasi, training atau dalam bentuk lainnya untuk memastikan kepedulian (awareness) dan pengetahuan keamanan informasi bagi karyawan maupun pihak-pihak terkait lainnya sesuai dengan kebutuhan;

Organisasi melaksanakan penilaian risiko dan perencanaan penanganan risiko terkait keamanan informasi secara berkala;

Organisasi menetapkan, mengkomunikasikan, dan memantau sasaran manajemen keamanan informasi serta menyediakan sumber daya yang diperlukan untuk pelaksanaan sistem manajemen keamanan informasi.

Organisasi menetapkan sasaran keamanan informasi sebagai salah satu tolok ukur keberhasilan dalam penerapan sistem manajemen keamanan informasi;

Seluruh karyawan bertanggung jawab untuk menjaga dan melindungi aset informasi serta mematuhi kebijakan, manual, prosedur,  ataupun bentuk aturan lainnya yang telah ditetapkan;

Setiap pelanggaran terhadap kebijakan ini dan atau aturan lain yang terkait dengan keamanan informasi akan dikenakan sanksi administrasi sesuai dengan pertimbangan dan peraturan yang berlaku;

Top manajemen bertanggung jawab memantau dan mengevaluasi efektivitas penerapan sistem manajemen keamanan informasi di organisasi secara berkala;

Melaksanakan perbaikan dan inovasi berkesinambungan untuk meningkatkan efektivitas sistem manajemen keamanan informasi.