6.2 Sasaran keamanan informasi dan rencana mencapai sasaran

Organisasi harus membuat sasaran keamanan informasi pada fungsi dan level yang relevan.

Sasaran harus:

• konsisten dengan kebijakan keamanan informasi;

• dapat diukur (jika dapat diterapkan);

• mempertimbangkan persyaratan keamanan informasi yang dapat diaplikasikan (4), termasuk hasil dari asesmen risiko dan penanganan risiko (6.1.2 dan 6.1.3);

• dimonitor, dikaji ulang, dan di-update (jika sesuai);

• dikomunikasikan 

• didokumentasikan