No seu aspecto formal, a política de segurança é um documento que cumpre três funções: definir o que deve ser protegido e a razão disso; estabelecer quem é responsável pela proteção; estabelecer uma base para a resolução de conflitos que possam surgir em decorrência da aplicação dessa política. Nesse contexto, para o estabelecimento de uma política de segurança, deve-se listar as ameaças específicas juntamente com alvos e indivíduos específicos, e, em seguida, definir as normas que codifiquem as boas práticas de segurança a serem empregadas na organização. As diretrizes, por sua vez, traduzem a política e as normas para o ambiente tecnológico particular da organização e tendem a mudar com mais freqüência que as normas, refletindo a constante renovação tecnológica.