Una técnica común para que las políticas de seguridad de la información institucional sean más útiles era dividirlas en dos políticas de alto nivel concisas amplias y una información más detallada a que se hace referencia como directrices o normas.
Para que las políticas de información de las organizaciones sean menos útiles, se dividieron en 9 políticas.