Chính sách bảo mật xác định các quy tắc để bảo vệ tài sản của tổ chức. Nó nêu rõ những gì được phép, những gì bị cấm và ai chịu trách nhiệm. Các yêu cầu về mật khẩu, cách sử dụng hợp lý, phân loại dữ liệu, báo cáo sự cố, truy cập từ xa. Mỗi lĩnh vực đều có chính sách riêng hoặc một phần trong tài liệu tổng thể. Chính sách là nền tảng. Các quy trình và tiêu chuẩn được xây dựng dựa trên nền tảng đó.

Một chính sách mà không ai đọc thì vô giá trị. Những chính sách tốt nhất là ngắn gọn, rõ ràng và được thực thi. Chúng giải thích lý do tại sao, chứ không chỉ là nội dung. Nhân viên tuân theo những quy tắc mà họ hiểu. Họ bỏ qua những quy tắc mà họ cho là tùy tiện. Việc xây dựng chính sách cần có sự tham gia của các bên liên quan trong toàn bộ tổ chức. Bộ phận pháp lý, nhân sự, CNTT và các đơn vị kinh doanh đều có đóng góp ý kiến. Chính sách phải phù hợp với luật pháp và quy định. Nó cũng phải thiết thực. Một chính sách cấm tất cả các ổ USB thì dễ viết nhưng khó thực thi. Một chính sách yêu cầu mã hóa trên các ổ đĩa được chấp thuận thì khả thi hơn. Chính sách cần được xem xét lại. Kinh doanh thay đổi, các mối đe dọa thay đổi và các quy định thay đổi. Việc xem xét lại hàng năm giúp chính sách luôn được cập nhật. Nếu không, tài liệu đó chỉ mô tả một công ty không còn tồn tại nữa.

Chính sách bảo mật chung

• Sử dụng hợp lý — những gì nhân viên được phép làm với hệ thống của công ty
• Kiểm soát truy cập — ai được quyền truy cập vào cái gì và bằng cách nào
• Phân loại dữ liệu — cách dữ liệu được gắn nhãn và xử lý
• Ứng phó sự cố — cách báo cáo và xử lý các vụ vi phạm
• Truy cập từ xa — các quy tắc khi làm việc ngoài văn phòng

Chính sách là một lời hứa. Nó cho nhân viên biết tổ chức mong đợi điều gì và sẽ làm gì để bảo vệ họ.