Nella maggioranza dei casi per accrescere la sicurezza di un sistema informatico non è sufficiente un intervento di tipo tecnologico, ma è necessario realizzare o aggiornare le policy organizzative. La pianificazione delle Policy è un'attività complessa che riguarda la definizione delle procedure di sicurezza, dei regolamenti e delle linee guida che le aziende o gli enti pubblici adottano per disciplinare al suo interno l'utilizzo di strumenti aziendali e le procedure delle diverse funzioni aziendali. Vi sono Policy generali, rivolte cioè a tutto il personale, e Policy specifiche dedicate a regolare precisi ambiti aziendali o un numero ristretto di addetti.

La stesura di questi regolamenti deve naturalmente accordarsi con le leggi vigenti; particolare attenzione va rivolta in tal senso al rispetto delle normativa nel campo del diritto del lavoro, della regolamentazione sulla privacy e delle leggi che sanzionano i reati informatici.