O grau de procedimentos, técnicas e medidas de protecção devem ser aplicados aos sistemas de informação (IS) e redes com base em risco, ameaça, vulnerabilidade, considerações de interconexão de sistema e garantia de informações às necessidades. Níveis de protecção são: 1. Basic: The IS e redes que requerem a aplicação das contramedidas de segurança mínimo padrão. 2. Médio: The IS e redes que requerem estratificação das salvaguardas adicionais acima as contramedidas de segurança mínimo padrão. 3. High: The IS e redes que requerem a proteção mais rigorosa e contramedidas de segurança rigorosas.