Definuje, čo organizácia očakáva a prečo, identifikuje jej rozsah a riadiace princípy a priraďuje zodpovednosť za rozhodnutia a dohľad. Politika môže byť celoorganizačná alebo sa môže týkať konkrétnej témy, systému, procesu alebo rizika.
Užitočné politiky prekladajú povinnosti a rozhodnutia o rizikách do požiadaviek, ktoré ľudia dokážu uplatniť. Mali by sa prepájať s konkrétnejšími štandardmi, základnými stavmi (baselines), postupmi, zmluvnými podmienkami a technickými konfiguráciami namiesto pokusu obsiahnuť každý implementačný detail.
Kľúčové body
Obsah politikyUviesť účel, rozsah, povinné požiadavky, zodpovedné roly, rozhodovacie právomoci, presadzovanie a zákony, zmluvy, riziká alebo organizačné záväzky, ktoré ju poháňajú.
PoužiteľnosťZískať zodpovedné schválenie, komunikovať politiku dotknutým ľuďom, udržovať ju dostupnú a poskytnúť školenia, štandardy, postupy a zdroje potrebné na jej dodržiavanie.
Výnimky a zmenyZaznamenávať schválenia, kompenzačné opatrenia, vlastníkov a dátumy vypršania výnimiek; politiku prehodnocovať podľa plánu a po podstatných podnikových, technologických, hrozbových alebo regulačných zmenách.
Dôležité obmedzenieZverejnenie politiky nezakladá implementáciu, súlad ani účinnú bezpečnosť. Požiadavky musia byť uskutočniteľné, preložené do praxe, monitorované a opravované, keď dôkazy ukazujú medzery alebo nezamýšľané dôsledky.