Definuje, co organizace očekává a proč, určuje její rozsah a řídící principy a přiřazuje odpovědnost za rozhodnutí a dohled. Politika může být celofiremní nebo se týkat konkrétního tématu, systému, procesu či rizika.
Užitečné politiky překládají povinnosti a rozhodnutí o rizicích do požadavků, které lidé mohou aplikovat. Měly by se napojovat na specifičtější standardy, baseline, postupy, smluvní podmínky a technické konfigurace, místo aby se pokoušely obsáhnout každý implementační detail.
Klíčové body
Obsah politikyUveďte účel, rozsah, povinné požadavky, odpovědné role, rozhodovací autoritu, vymáhání a zákony, smlouvy, rizika či organizační závazky, které ji pohánějí.
PoužitelnostZískejte odpovědné schválení, sdělte politiku dotčeným lidem, udržujte ji přístupnou a poskytněte školení, standardy, postupy a prostředky potřebné k jejímu dodržování.
Výjimky a změnyZaznamenávejte schválení, kompenzační opatření, vlastníky a data expirace výjimek; politiku přezkoumávejte pravidelně a po podstatných změnách podnikání, technologií, hrozeb či regulace.
Důležité omezeníZveřejnění politiky nezakládá implementaci, compliance ani účinné zabezpečení. Požadavky musí být proveditelné, přeložené do praxe, monitorované a opravované, když důkazy ukazují mezery či nezamýšlené důsledky.