정보가산에 영향을 줄 수 있는 불확실한 사건들을 식별, 통제 또는 최소화하기 위한 것을 문서로 기술해 놓은 것이다.

조직에서 정보자산을 안전하게 보호하고 효율적으로 사용하기 위해서 우선적으로 수립되어야 한다.

환경의 변화나 새로운 위협이 발생하였을 경우 또는 주기적인 위험분석을 통해 갱신된다.

새롭게 제정 또는 개정되는 보안 정책은 기존의 상위 정책이나 규칙, 법령 등과 부합되어야 한다.