Em relação à política de segurança institucional, pode-se afirmar que:

a) deve conter apenas diretrizes e normas gerais, evitando ser alterada freqüentemente;
b) deve ser definida especialmente pela área de TI da empresa;
c) é desejável, mas não essencial, que a direção da empresa esteja envolvida na sua confecção e implantação;
d) não pode conter elementos relativos a punições, apenas itens de orientação;
e) seu conteúdo deve refletir mais a cultura da organização e menos o conhecimento técnico dos profissionais envolvidos.