IAP301 - Phần 3: Chính sách, tiêu chuẩn, quy trình và hướng dẫn

Một khung chính sách gồm nhiều loại tài liệu với vai trò khác nhau. Chính sách nêu ý định và cam kết của lãnh đạo ở mức khái quát; tiêu chuẩn đặt yêu cầu bắt buộc và đo được, chẳng hạn độ dài tối thiểu của mật khẩu; quy trình mô tả từng bước thực hiện; hướng dẫn chỉ đưa lời khuyên không bắt buộc. Chính sách cần được rà soát định kỳ, có người chịu trách nhiệm cập nhật và quy trình xin ngoại lệ rõ ràng, nếu không sẽ nhanh chóng lỗi thời. Quá trình xây dựng khung đi từ xác định phạm vi, tham khảo các khung sẵn có như ISO/IEC 27002 hay COBIT, soạn thảo, xin phê duyệt tới phổ biến. Các khối cơ bản của khung gồm điều lệ chương trình an ninh, các chính sách theo chủ đề và tài liệu kỹ thuật bên dưới. Việc phân vai khi vận hành khung là nội dung của Phần 4.