Organisasjonene betraktet informasjonssikkerhet som grunnlaget for deres informasjonssikkerhet programmer og grunnlaget for å vedta spesifikke prosedyrer og tekniske kontroller.
Sikkerhetspolitikk er grunnlaget for disse organisasjonenes informasjonssikkerhet programmer.