Jokaisella yrityksellä on oltava kirjallinen turvallisuuskäytäntö, jossa hahmotellaan hyväksyttävät käytännöt ja odotukset liiketoiminnan suojaamiseksi. Nämä odotukset olisi ilmoitettava selkeästi kaikille työntekijöille. Pienillä yrityksillä ei välttämättä ole omaa IT-tiimiä tai asiantuntijaa, joka voisi luoda turvallisuuskäytännön ja valvoa sitä. Näissä tapauksissa yrityksen omistaja on vastuussa yrityksen turvallisuuskäytännön tai turvallisuusohjeiden täytäntöönpanosta.
Perustasoisessa turvallisuuspolitiikassa olisi määriteltävä, miten:
- tiedot, järjestelmät ja verkko suojataan viruksilta, vakoiluohjelmilta ja muulta haitalliselta koodilta
- internet-yhteys suojataan
- langattomat tukiasemat ja verkot suojataan
- palomuurit asennetaan kaikkiin yritysjärjestelmiin ja aktivoidaan
- käyttöjärjestelmät ja sovellukset korjataan
- kaikista tärkeistä yritystiedoista tehdään varmuuskopiot
- tietokoneiden ja verkkokomponenttien fyysistä käyttöä valvotaan
- tietoturvan perusperiaatteiden koulutus työntekijöille järjestetään
- työntekijöille myönnetään pääsy tietoihin vain tarpeen mukaan
- mahdollisuus asentaa ohjelmistoja myönnetään vain järjestelmänvalvojille.