Meghatározza, mit és miért vár el a szervezet, azonosítja a hatókörét és irányító elveit, és felelősséget rendel a döntésekhez és a felügyelethez. A szabályzat lehet szervezetre kiterjedő, vagy egy konkrét témára, rendszerre, folyamatra vagy kockázatra vonatkozhat.
A hasznos szabályzatok a kötelezettségeket és a kockázati döntéseket olyan követelményekké fordítják, amelyeket az emberek alkalmazni tudnak. Kapcsolódniuk kell a konkrétabb szabványokhoz, alapvonalakhoz (baseline), eljárásokhoz, szerződéses feltételekhez és technikai konfigurációkhoz, ahelyett hogy minden megvalósítási részletet tartalmazni próbálnának.
Legfontosabb pontok
A szabályzat tartalmaMeg kell határozni a célt, a hatókört, a kötelező követelményeket, a felelős szerepköröket, a döntési jogkört, a betartatást, valamint azokat a törvényeket, szerződéseket, kockázatokat vagy szervezeti vállalásokat, amelyek mozgatják.
HasználhatóságElszámoltatható jóváhagyást kell szerezni, a szabályzatot közölni kell az érintettekkel, hozzáférhetően kell tartani, és biztosítani kell a betartásához szükséges képzést, szabványokat, eljárásokat és erőforrásokat.
Kivételek és változáskezelésA kivételekhez jóváhagyásokat, kompenzáló intézkedéseket, tulajdonosokat és lejárati dátumokat kell rögzíteni; a szabályzatot ütemezetten, illetve lényeges üzleti, technológiai, fenyegetési vagy szabályozási változások után felül kell vizsgálni.
Fontos korlátA szabályzat közzététele nem igazolja a megvalósítást, a megfelelést vagy a hatékony biztonságot. A követelményeknek megvalósíthatóknak kell lenniük, a gyakorlatba át kell ültetni, monitorozni kell őket, és javítani kell, ha a bizonyítékok réseket vagy nem szándékolt következményeket mutatnak.