Μια πολιτική ασφαλείας ορίζει τους κανόνες για την προστασία των περιουσιακών στοιχείων ενός οργανισμού. Αναφέρει τι επιτρέπεται, τι απαγορεύεται και ποιος είναι υπεύθυνος. Απαιτήσεις κωδικού πρόσβασης, αποδεκτή χρήση, ταξινόμηση δεδομένων, αναφορά συμβάντων, απομακρυσμένη πρόσβαση. Κάθε τομέας έχει τη δική του πολιτική ή μια ενότητα μέσα σε ένα ευρύτερο έγγραφο. Η πολιτική είναι το θεμέλιο. Οι διαδικασίες και τα πρότυπα βασίζονται σε αυτήν.

Μια πολιτική που κανείς δεν διαβάζει είναι άχρηστη. Οι καλύτερες πολιτικές είναι σύντομες, σαφείς και εφαρμοστέες. Εξηγούν το γιατί, όχι μόνο το τι. Οι εργαζόμενοι ακολουθούν κανόνες που κατανοούν. Αγνοούν κανόνες που φαίνονται αυθαίρετοι. Η ανάπτυξη πολιτικής περιλαμβάνει ενδιαφερόμενους από ολόκληρο τον οργανισμό. Οι νομικές μονάδες, το τμήμα ανθρώπινου δυναμικού, η πληροφορική και οι επιχειρηματικές μονάδες έχουν όλες τη δυνατότητα να συμβάλλουν. Η πολιτική πρέπει να ευθυγραμμίζεται με τους νόμους και τους κανονισμούς. Πρέπει επίσης να είναι πρακτική. Μια πολιτική που απαγορεύει όλες τις μονάδες USB είναι εύκολο να γραφτεί και δύσκολο να εφαρμοστεί. Μια πολιτική που απαιτεί κρυπτογράφηση σε εγκεκριμένες μονάδες δίσκου είναι πιο λειτουργική. Οι πολιτικές χρειάζονται αναθεώρηση. Οι επιχειρηματικές αλλαγές, οι απειλές αλλάζουν και οι κανονισμοί αλλάζουν. Μια ετήσια αναθεώρηση διατηρεί την πολιτική ενημερωμένη. Χωρίς αυτήν, το έγγραφο περιγράφει μια εταιρεία που δεν υπάρχει πλέον.

Κοινές πολιτικές ασφαλείας

• Αποδεκτή χρήση — τι μπορούν να κάνουν οι εργαζόμενοι με τα συστήματα της εταιρείας
• Έλεγχος πρόσβασης — ποιος έχει πρόσβαση σε τι και πώς
• Ταξινόμηση δεδομένων — πώς επισημαίνονται και χειρίζονται τα δεδομένα
• Αντιμετώπιση περιστατικών — πώς να αναφέρετε και να χειρίζεστε παραβιάσεις
• Απομακρυσμένη πρόσβαση — κανόνες για εργασία εκτός γραφείου

Μια πολιτική είναι μια υπόσχεση. Λέει στους εργαζομένους τι αναμένει ο οργανισμός και τι θα κάνει για να τους προστατεύσει.