Dieser Abschnitt der Leitlinien bietet eine allgemeine Orientierungshilfe für die Verwaltung der Informationssicherheit und des Datenschutzes bei Trägern der sozialen Sicherheit. Die folgenden acht Leitlinien sind der Ausgangspunkt, von dem aus der Träger seine eigenen Strategien und Pläne entwickeln kann, und sie helfen beim Umgang mit Problemen der Sicherheit von Informationen durch einen konsistenten und normenbasierten Ansatz. Sie sollen auch das Bewusstsein für Sicherheitsrisiken von Datenbeständen erhöhen und einen Weg zum Umgang mit ihnen aufzeigen.
Die Anleitung stützt sich auf anerkannte Prinzipien und beste Praxis in den Bereichen Planung, Risikomanagement und Leistungsmessung. Die Leitlinien wurden zusammengestellt aus verschiedenen strategischen Instrumenten, Richtlinien und Berichten verschiedener Rechtssysteme und Beiträgen von der Privatindustrie, von Fachkräften bei Trägern der sozialen Sicherheit und von Normierungsbehörden wie Internationale Organisation für Normung (ISO), National Institute of Standards and Technology (NIST) und Information Systems Audit and Control Association (ISACA).
Diese acht Leitlinien richten sich an IKT-Mitarbeiter, leitende Verwaltungsangestellte und andere Führungskräfte, die für die Sicherheit von Informationsbeständen zuständig sind, sowie an Mitarbeiter, die für die Anregung, Implementierung und/oder Überwachung von Risikomanagement und Datensicherheit in ihrer Organisation verantwortlich sind. Sie können auch nützlich sein für Risikomanager, strategische Planer, Koordinatoren oder andere Spezialisten, die in den verschiedenen Abteilungen eine wichtige Rolle bei der Sicherheitskontrolle von Tätigkeiten des Risikomanagements, der Planung und der Leistungsmessung ausüben.
Die Leitlinien können in jedem Stadium einer Tätigkeit, einer Funktion, eines Projekts, eines Produkts oder einer Anlage im Zusammenhang mit Informationen angewendet werden. Üblicherweise wird die Datensicherheit für alle Informationssysteme und -einrichtungen zusammen verwaltet, sie kann aber auch auf einzelne Systemkomponenten oder -dienste ausgerichtet sein, falls dies möglich und sinnvoll ist.