Este conjunto de principios o procedimientos se utilizan para identificar riesgos y definir los pasos de mitigación de riesgos que deben llevarse a cabo. Consiste en políticas, procedimientos, directrices, recursos y actividades asociadas, los cuales son administrados por una organización con la finalidad de proteger tus activos de información.