En sikkerhetspolicy definerer reglene for å beskytte en organisasjons eiendeler. Den sier hva som er tillatt, hva som er forbudt og hvem som er ansvarlig. Passordkrav, akseptabel bruk, dataklassifisering, hendelsesrapportering, fjerntilgang. Hvert område får sin egen policy eller en seksjon i et større dokument. Policyen er grunnlaget. Prosedyrer og standarder bygger på den.

En policy som ingen leser er verdiløs. De beste policyene er korte, klare og håndheves. De forklarer hvorfor, ikke bare hva. Ansatte følger regler de forstår. De ignorerer regler som føles vilkårlige. Policyutvikling involverer interessenter fra hele organisasjonen. Juridisk, HR, IT og forretningsenheter har alle innspill. Policyen må være i samsvar med lover og forskrifter. Den må også være praktisk. En policy som forbyr alle USB-stasjoner er enkel å skrive og vanskelig å håndheve. En policy som krever kryptering på godkjente stasjoner er mer gjennomførbar. Policyer må gjennomgås. Forretningsendringer, trusler endres og forskrifter endres. En årlig gjennomgang holder policyen oppdatert. Uten den beskriver dokumentet et selskap som ikke lenger eksisterer.

Felles sikkerhetspolicyer

• Akseptabel bruk – hva ansatte kan gjøre med bedriftens systemer
• Tilgangskontroll – hvem får tilgang til hva og hvordan
• Dataklassifisering – hvordan data merkes og håndteres
• Hendelsesrespons – hvordan rapportere og håndtere brudd
• Fjerntilgang – regler for arbeid utenfor kontoret

En policy er et løfte. Den forteller ansatte hva organisasjonen forventer og hva organisasjonen vil gjøre for å beskytte dem.