Uma instituição contratou um consultor para melhorar suas práticas de segurança da informação. Uma provável orientação, reconhecida como boa prática, poderia ser: