Kebijakan dan Prosedur

Kebijakan harus selalu dikembangkan sebelum prosedur. Pengembangan prosedur

harus mengalir dari kebijakan. Kebijakan seharusnya peduli dan terlibat dengan apaaset untuk melindungi dan

Mengapa mereka perlu dilindungi. Mereka umumnya luas dalam lingkup mereka dan dirancang untuk mengatur

nada dan arah. Secara umum, mereka dapat dianggap sebagai dokumen yang menguraikan

apa dan mengapa keamanan informasi untuk organisasi. Prosedur, di sisi lain, harus

menjadi lebih tepat dan terperinci. Prosedur harus berkaitan dengan spesifik

tindakan yang diperlukan untuk melindungi aset-aset organisasi. Mereka dapat dianggap sebagai

dokumen yang mengeja siapa, Kapan, dan bagaimana keamanan informasi dalam sebuah organisasi.