Polityka bezpieczeństwa powinna zabezpieczać firmę ze wszystkich stron i uwzględniać wszystkie jej aktywa. Powinien obejmować całe oprogramowanie, urządzenia sprzętowe, parametry fizyczne, zasoby ludzkie, informacje/dane, kontrolę dostępu w swoim zakresie.