En sikkerhedspolitik definerer reglerne for beskyttelse af en organisations aktiver. Den angiver, hvad der er tilladt, hvad der er forbudt, og hvem der er ansvarlig. Krav til adgangskoder, acceptabel brug, dataklassificering, rapportering af hændelser, fjernadgang. Hvert område får sin egen politik eller et afsnit i et bredere dokument. Politikken er fundamentet. Procedurer og standarder bygger ovenpå den.

En politik, som ingen læser, er værdiløs. De bedste politikker er korte, klare og håndhæves. De forklarer hvorfor, ikke kun hvad. Medarbejdere følger regler, de forstår. De ignorerer regler, der føles vilkårlige. Politikudvikling involverer interessenter fra hele organisationen. Juridisk, HR-, IT- og forretningsenheder har alle input. Politikken skal være i overensstemmelse med love og regler. Den skal også være praktisk. En politik, der forbyder alle USB-drev, er nem at skrive og svær at håndhæve. En politik, der kræver kryptering på godkendte drev, er mere brugbar. Politikker skal gennemgås. Forretningsændringer, trusler ændrer sig, og regler ændrer sig. En årlig gennemgang holder politikken aktuel. Uden den beskriver dokumentet en virksomhed, der ikke længere eksisterer.

Fælles sikkerhedspolitikker

• Acceptabel brug — hvad medarbejdere kan gøre med virksomhedens systemer
• Adgangskontrol – hvem får adgang til hvad og hvordan
• Dataklassificering — hvordan data mærkes og håndteres
• Hændelsesrespons — hvordan man rapporterer og håndterer brud
• Fjernadgang — regler for arbejde uden for kontoret

En politik er et løfte. Den fortæller medarbejderne, hvad organisationen forventer, og hvad organisationen vil gøre for at beskytte dem.