セキュリティ対策を行ううえで、そのベースとなる考え方。その策定においては、セキュリティが破られた場合に予想される損失コストと、セキュリティ対策に必要なコストとのバランスを考え、最適なセキュリティレベルを決定する。セキュリティポリシーの対象項目は、情報システムにかかわる組織構成、情報管理、ユーザー管理など広い範囲にわたる。