Para la seguridad de la información, al igual que con otros tipos de controles internos, estos puntos de vista y requisitos generalmente se derivan directamente de las consideraciones de riesgo, como se ilustra en el ciclo de gestión descrito anteriormente.
El ciclo de gestión representa puntos de vista y requisitos que surgen de un estado de anarquía.