A instituição avalia a postura de segurança atual e define uma estratégia institucional de cibersegurança e um modelo de governança.

As administrações de seguridade social tornam-se infraestrutura crítica (CI) e infraestrutura de informação crítica (CII) e, portanto, exigem uma postura robusta de segurança cibernética. Em geral, IC é definida como os setores, serviços e ativos que são vitais para o bom funcionamento e a resiliência da sociedade. Ao mesmo tempo, CII são os sistemas de TIC que são CI por si mesmos ou essenciais para o funcionamento de um CI.