نقش ها و مسئولیت ها: نقش ها و مسئولیت ها باید براساس جایگاه سازمانی به کارکنان سازمان اعطا گردد و متناسب با وظایف آنها، سطوح اختیارات افراد و دسترسی به اطلاعات و منابع تعریف گردد. سازمان نیاز به یک چارچوب حاکمیت امنیت اطلاعات موثر دارد تا به تصمیم گیرندگان سازمان در فهم جامع و دقیق از محیط تهدید کمک کرده در نهایت بتوانند تصمیمات مبتنی بر ریسک مناسبی را اتخاذ کنند. همچنین این چارچوب به جوابگویی مناسب همه وظایف کمک می کند. در واقع وظایف و نقش ها باید به طور کامل شفاف، همراه با افزایش راستی و درستی در انجام کارها بر اثر کاهش تضاد در وظایف و تفکیک مناسب وظایف باشند.