Manajemen harus menetapkan kebijakan keamanan informasi. Â
Kebijakan keamanan informasi adalah pernyataan manajemen puncak tentang maksud dan arah suatu organisasi. Kebijakan ini wajib diterapkan seluruh jajaran manajemen dan karenanya perlu disosialisasikan di segala tingkatan.