De formeel uitgesproken inrichting van informatiebeveiliging en de intentie van de directie hoe om te gaan met bedrijfsrisico's en de bescherming van de organisatie tegen informatiebeveiligingsrisico's.