Requisitos legales, regulatorios y contractuales

Toda organización opera bajo obligaciones externas. Las leyes y regulaciones, como las leyes de protección de datos, las reglas sectoriales de salud o finanzas y los requisitos de notificación de filtraciones, fijan expectativas mínimas y conllevan sanciones. Los contratos con clientes, socios y marcas de tarjetas agregan más, por ejemplo el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) para quien maneje tarjetas de pago. El gerente de seguridad de la información debe saber qué obligaciones aplican y asegurarse de que el programa las atienda.