apenas aos sistemas, uma vez que os processos devem ter garantido a segurança por meio dos seus passos.

apenas às normas, uma vez que os sistemas devem ser desenvolvidos dentro das premissas de segurança da empresa na qual eles serão executados.

apenas à operação da empresa, uma vez que os sistemas e processos devem ter suas definições aderentes às normas de segurança.

a cada um dos sistemas e cada um dos processos da empresa, individualmente, com o intuito de permitir que cada norma seja ajustada com base no tempo de vida de cada sistema e processo.