Definiuje, czego organizacja oczekuje i dlaczego, wskazuje zakres i zasady nadrzędne oraz przypisuje odpowiedzialność za decyzje i nadzór. Polityka może dotyczyć całej organizacji albo konkretnego tematu, systemu, procesu lub ryzyka.
Użyteczne polityki tłumaczą obowiązki i decyzje ryzykowne na wymagania, które ludzie mogą stosować. Powinny łączyć się z bardziej szczegółowymi standardami, bazami (baselines), procedurami, warunkami kontraktowymi i konfiguracjami technicznymi, zamiast próbować zawierać każdy szczegół implementacyjny.
Najważniejsze punkty
Treść politykiOkreśl cel, zakres, obowiązkowe wymagania, odpowiedzialne role, uprawnienia decyzyjne, egzekwowanie oraz prawa, umowy, ryzyka lub zobowiązania organizacyjne, które ją motywują.
UżytecznośćUzyskaj rozliczalne zatwierdzenie, zakomunikuj politykę zainteresowanym osobom, utrzymuj ją dostępną i zapewnij szkolenia, standardy, procedury i zasoby potrzebne do jej przestrzegania.
Wyjątki i zmianyRejestruj zatwierdzenia, środki kompensujące, właścicieli i daty wygaśnięcia wyjątków; przeglądaj politykę według harmonogramu oraz po istotnych zmianach biznesowych, technologicznych, zagrożeń lub regulacji.
Istotne ograniczenieOpublikowanie polityki nie potwierdza wdrożenia, zgodności ani skutecznego bezpieczeństwa. Wymagania muszą być wykonalne, przełożone na praktykę, monitorowane i korygowane, gdy dowody wskazują luki lub niezamierzone konsekwencje.