A política de segurança da informação deve ser analisada criticamente a intervalos planejados ou quando mudanças significativas ocorrerem, para assegurar a sua contínua pertinência, adequação e eficácia.

Uma política de segurança tem por objetivo fornecer direção e apoio gerenciais para a segurança de informações, através da elaboração de regras e diretrizes. Recomenda-se que o documento que define a política de uma organização apresente uma descrição detalhada dos mecanismos de segurança a serem implantados pela política, bem como a configuração de cada mecanismo.

O documento da política de segurança de uma organização é considerado sigiloso e deve ser mantido em local seguro e controlado para que somente a alta gerência da organização tenha acesso a este documento.

Uma política de segurança consiste em um conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organização. Esta engloba regras para implantação de controles lógicos e organizacionais. Regras para os controles físicos devem ser especificadas no plano de continuidade de negócios.

O documento da política de segurança deve atribuir responsabilidades de forma explícita às pessoas que lidam com os recursos computacionais e informações de uma organização. O cumprimento de tais responsabilidades é papel exclusivo do departamento de tecnologia da informação (TI).