O politică de securitate definește regulile pentru protejarea activelor unei organizații. Aceasta stabilește ce este permis, ce este interzis și cine este responsabil. Cerințe privind parola, utilizare acceptabilă, clasificarea datelor, raportarea incidentelor, acces la distanță. Fiecare domeniu are propria politică sau o secțiune dintr-un document mai amplu. Politica este fundamentul. Procedurile și standardele se bazează pe aceasta.

O politică pe care nimeni nu o citește este lipsită de valoare. Cele mai bune politici sunt scurte, clare și aplicate. Ele explică de ce, nu doar ce. Angajații respectă reguli pe care le înțeleg. Ignoră regulile care par arbitrare. Dezvoltarea politicilor implică părți interesate din întreaga organizație. Departamentele juridice, de resurse umane, IT și de afaceri au toate contribuții. Politica trebuie să se alinieze la legile și reglementările. De asemenea, trebuie să fie practică. O politică care interzice toate unitățile USB este ușor de scris și greu de aplicat. O politică care impune criptarea unităților aprobate este mai fezabilă. Politicile trebuie revizuite. Schimbările de afaceri, amenințările se schimbă și reglementările se schimbă. O revizuire anuală menține politica actualizată. Fără aceasta, documentul descrie o companie care nu mai există.

Politici comune de securitate

• Utilizare acceptabilă — ce pot face angajații cu sistemele companiei
• Controlul accesului — cine are acces la ce și cum
• Clasificarea datelor — modul în care datele sunt etichetate și gestionate
• Răspuns la incidente — cum să raportați și să gestionați încălcările
• Acces la distanță — reguli pentru lucrul în afara biroului

O politică este o promisiune. Le spune angajaților ce așteaptă organizația și ce va face organizația pentru a-i proteja.