安全性策略定義了保護組織資產的規則。它規定了哪些行為是允許的，哪些行為是禁止的，以及誰負責執行這些行為。策略涵蓋密碼要求、可接受的使用方式、資料分類、事件報告和遠端存取等內容。每個領域都有其自身的策略，或包含在更廣泛的文檔中的一個章節中。策略是基礎，程序和標準都建立在其之上。

無人閱讀的政策毫無價值。最好的政策簡潔明了，能夠有效執行。它們不僅解釋“做什麼”，也解釋“為什麼”。員工會遵守他們所理解的規則，而不會理會那些看似武斷的規則。政策制定需要組織內各利害關係人的參與，包括法務、人力資源、IT 和業務部門。政策必須符合法律法規，且切實可行。禁止所有 U 盤的政策雖然容易制定，但難以執行。而要求對已批准的 USB 隨身碟進行加密的政策則更易於實施。政策需要定期檢討。業務會變化，威脅會變化，法規也會改變。年度審查能夠確保政策的時效性。否則，這份文件描述的將是一家早已不存在的公司。

通用安全策略

• 可接受的使用方式－員工可以使用公司係統做什麼
• 存取控制－誰有權存取什麼以及如何存取。
• 資料分類－資料的標記和處理方式
• 事件回應－如何通報和處理安全漏洞
• 遠端存取－在辦公室外工作的規則

政策是一種承諾。它告訴員工組織對他們的期望，以及組織將採取哪些措施來保護他們。