A Regras específicas para cada ameaça identificada.

B Regras gerais de alto nível definidas pela gestão.

C Normas estabelecidas pelo comitê multidisciplinar.

D Normas exigidas pela consultoria de segurança.

E Regulamentações de mercado definidas por instâncias governamentais.