Відноситься до конкретних сервісів Вона включає два аспекти — мети і правила їх досягнення, тому її порою важко відокремити від питань реалізації

Визначені обов'язки посадовців по виробленню програми безпеки і по проведенню її в життя, т е політика може служити основою підзвітності персоналу

Повинна чітко визначати сферу свого впливу У неї можуть бути включені не лише усі комп'ютерні системи організації, але і домашні комп'ютери співробітників, якщо політика регламентує деякі аспекти їх використання Можлива і така ситуація, коли в сферу впливу включаються лише найбільш важливі системи

Не стосується кібербезпеки

Визначає вирішення питань, що стосуються окремих аспектів інформаційної безпеки, але важливих для різних систем, експлуатованих організацією Приклади таких питань — відношення до доступу в Internet (проблема поєднання свободи отримання інформації із захистом від зовнішніх загроз), використання домашніх комп'ютерів і т д