uma política de segurança não deve especificar a quem se destina.

uma política de segurança deve ter uma característica preventiva, na qual os riscos devem ser previstos e eliminados antes que se manifestem.

as regras contidas em uma política de segurança devem ser de conhecimento apenas da equipe responsável pela sua elaboração.

uma política de segurança deve ter em seu escopo uma diretriz indicando que a responsabilidade sobre ativos se confunde com a propriedade destes ativos quando se trata de integridade da informação.

uma política de segurança deve isentar todos os funcionários, exceto a gerência, da obrigação de proteger os ativos da organização.