Организациите разглеждат политиките за информационна сигурност като основа на своите програми за информационна сигурност и база за приемане на специфични процедури и технически контрол.
Приемането на конкретни процедури е най-важната част от тяхната стратегия.