Conforme o NIC BR, a política de segurança da informação é um instrumento importante para proteger uma organização contra ameaças à segurança da informação que a ela pertence ou que está sob sua responsabilidade. Antes que a política de segurança seja escrita, é necessário definir a informação a ser protegida. Isso é feito através de uma análise de riscos, que identifica: