安全策略定义了保护组织资产的规则。它规定了哪些行为是允许的，哪些行为是禁止的，以及谁负责执行这些行为。策略涵盖密码要求、可接受的使用方式、数据分类、事件报告和远程访问等内容。每个领域都有其自身的策略，或者包含在更广泛的文档中的一个章节中。策略是基础，程序和标准都建立在其之上。

无人阅读的政策毫无价值。最好的政策简洁明了，并且能够有效执行。它们不仅解释“做什么”，更解释“为什么”。员工会遵守他们理解的规则，而不会理会那些看似武断的规则。政策制定需要组织内各利益相关者的参与，包括法务、人力资源、IT 和业务部门。政策必须符合法律法规，并且切实可行。禁止所有 U 盘的政策虽然容易制定，但难以执行。而要求对已批准的 U 盘进行加密的政策则更易于实施。政策需要定期审查。业务会变化，威胁会变化，法规也会变化。年度审查能够确保政策的时效性。否则，这份文件描述的将是一家早已不复存在的公司。

通用安全策略

• 可接受的使用方式——员工可以使用公司系统做什么
• 访问控制——谁有权访问什么以及如何访问。
• 数据分类——数据的标记和处理方式
• 事件响应——如何报告和处理安全漏洞
• 远程访问——在办公室外工作的规则

政策是一种承诺。它告诉员工组织对他们的期望，以及组织将采取哪些措施来保护他们。