Erakundeek informazioaren segurtasunerako politikak hartzen dituzte informazioaren segurtasunerako programen oinarritzat, eta prozedura eta kontrol tekniko espezifikoak hartzeko oinarritzat.
Badirudi erakunde horiek ez direla desberdinak jarraitu beharreko segurtasun-politikak eta prozedura zuzenak direnean.