6.2 Sasaran keamanan informasi dan rencana mencapai sasaran

Organisasi harus menetapkan sasaran keamanan informasi pada fungsi dan tingkat yang relevan.

Sasaran keamanan informasi tersebut harus:

• konsisten dengan kebijakan keamanan informasi;

• dapat diukur, jika memungkinkan

• mempertimbangkan persyaratan keamanan informasi yang berlaku, termasuk hasil asesmen risiko dan penanganan risiko (6.1.2 dan 6.1.3);

• dipantau, ditinjau ulang, dan diperbarui apabila diperlukan 

• dikomunikasikan, dan 

• didokumentasikan