SPM401 - Phần 3: Chính sách an toàn thông tin

Khối thứ ba xét hệ thống chính sách, chia ba tầng. Chính sách an toàn thông tin doanh nghiệp là văn bản khung, chứa những thứ như thông tin về cơ cấu tổ chức của bộ phận an toàn thông tin. Chính sách theo vấn đề xử lý từng chủ đề cụ thể và phải có mục riêng vạch ra cách rà soát rồi sửa đổi chính bản thân nó. Chính sách theo hệ thống gắn với từng hệ thống cụ thể. Khối phân biệt chính sách với các văn bản kế cận: hướng dẫn là khuyến nghị không bắt buộc mà người lao động có thể tham chiếu khi tuân thủ chính sách, khác với quy định. Vai người quản trị chính sách được định nghĩa rành mạch: đó là người chịu trách nhiệm tạo lập, sửa đổi, phân phát và lưu giữ chính sách, khác với người soạn thảo và người rà soát. Công cụ hỗ trợ soạn và duy trì chính sách là phần mềm, không phải thiết bị phần cứng.