Цели чаще всего устанавливаются:

По требованиям руководящих документов.
По указанию вышестоящих руководителей.
По отношению к настоящему или проблемному состоянию.
По отношению руководства к информационной безопасности.

К сожалению, у нас пока нет статистики ответов на данный вопрос, но мы работаем над этим.