Em relação às boas práticas de gestão da segurança da informação, é correto afirmar: