Opracowanie PBI Polityka bezpieczeństwa informacji powinna odnosić się do wszystkich: informacji, które zostały sklasyfikowane jako wartościowe i wymagające ochrony, członków organizacji mających dostęp do tych informacji, systemów przetwarzających chronione informacje, miejsc, w których przetwarza się wspomniane informacje, partnerów biznesowych mających dostęp do chronionych informacji, klientów i sytuacje, gdy mają oni dostęp do informacji i przetwarzających je systemów, które podlegają ochronie.
Celem działań w zakresie ochrony i zapewnienia bezpieczeństwa informacji w danej instytucji jest osiągnięcie takiego poziomu organizacyjnego i technicznego, który: zagwarantuje zachowanie poufności informacji chronionych, zapewni integralność informacji chronionych i jawnych oraz dostępność do nich, zagwarantuje wymagany poziom bezpieczeństwa przetwarzanych informacji, maksymalnie ograniczy występowanie zagrożeń dla bezpieczeństwa informacji, zapewni poprawne i bezpieczne funkcjonowanie systemów przetwarzania informacji, zapewni gotowość do podejmowania działań w sytuacjach kryzysowych.
PBI powinna uwzględniać i być dopasowana do: specyfiki funkcjonowania organizacji, procesów zachodzących w tej organizacji, charakteru organizacji oraz, struktury organizacyjnej.