Uma política de segurança é estabelecida com o objetivo de fornecer direção e apoio gerenciais para a segurança de informações. Nela deve constar uma definição das responsabilidades gerais e específicas pela gestão da segurança das informações, incluindo relatórios de incidentes de segurança.