Uma política de segurança da informação deve atender às necessidades de proteção da informação em uma organização, sendo elaborada por decisão daqueles que vão implantá-la e operá-la.