Em relação à política de segurança institucional, pode-se...

deve conter apenas diretrizes e normas gerais, evitando ser alterada freqüentemente;

deve ser definida especialmente pela área de TI da empresa;

é desejável, mas não essencial, que a direção da empresa esteja envolvida na sua confecção e implantação;

não pode conter elementos relativos a punições, apenas itens de orientação;

seu conteúdo deve refletir mais a cultura da organização e menos o conhecimento técnico dos profissionais envolvidos.