A biztonsági szabályzat meghatározza a szervezet eszközeinek védelmére vonatkozó szabályokat. Kimondja, hogy mi megengedett, mi tiltott, és ki a felelős. Jelszókövetelmények, elfogadható felhasználás, adatbesorolás, incidensjelentés, távoli hozzáférés. Minden területhez tartozik saját szabályzat vagy egy tágabb dokumentumon belüli szakasz. A szabályzat az alap. Az eljárások és szabványok erre épülnek.

Egy olyan szabályzat, amelyet senki sem olvas el, értéktelen. A legjobb szabályzatok rövidek, világosak és betartatják őket. Elmagyarázzák a miértet is, nem csak a mit. Az alkalmazottak betartják azokat a szabályokat, amelyeket megértenek. Figyelmen kívül hagyják az önkényesnek tűnő szabályokat. A szabályzat kidolgozásában a szervezet egészének érdekelt felei vesznek részt. A jogi, a HR, az informatikai és az üzleti egységek mind hozzájárulnak. A szabályzatnak összhangban kell lennie a törvényekkel és szabályozásokkal. Gyakorlatiasnak is kell lennie. Egy olyan szabályzat, amely minden USB-meghajtót tilt, könnyen megírható, de nehezen érvényesíthető. Egy olyan szabályzat, amely titkosítást ír elő a jóváhagyott meghajtókon, működőképesebb. A szabályzatokat felül kell vizsgálni. Az üzleti változások, a fenyegetések változnak, és a szabályozások is változnak. Az éves felülvizsgálat naprakészen tartja a szabályzatot. Enélkül a dokumentum egy olyan vállalatot ír le, amely már nem létezik.

Közös biztonsági irányelvek

• Elfogadható használat – mit tehetnek az alkalmazottak a vállalati rendszerekkel
• Hozzáférés-vezérlés – ki férhet hozzá, mihez és hogyan
• Adatosztályozás – az adatok címkézése és kezelése
• Incidensre adott válasz – hogyan jelentsük és kezeljük az incidenseket
• Távoli hozzáférés – szabályok az irodán kívüli munkavégzéshez

A szabályzat egy ígéret. Megmondja az alkalmazottaknak, hogy mit vár el a szervezet, és mit fog tenni a védelmük érdekében.