Erakundeek informazioaren segurtasunerako politikak hartzen dituzte informazioaren segurtasunerako programen oinarritzat, eta prozedura eta kontrol tekniko espezifikoak hartzeko oinarritzat.
Prozedura espezifikoak hartzea da bere estrategiaren zatirik garrantzitsuena.