Após todas as fases anteriores cumpridas e mapeadas, é chegado o momento de "colocar a mão na massa" e começar a dar vida a sua política de segurança.

Comece atrelando suas necessidades de segurança às tecnologias utilizadas atualmente dentro de sua empresa. Tente iniciar o documento focando em seus métodos de autenticação de usuários, como um servidor Linux, um domínio Microsoft ou Novell eDirectory. Tente mapear vulnerabilidades durante o processo de login de seus usuário.

Com o processo de login mapeado e documentado dentro da política, tente traçar boas práticas para este momento de login. Comece a se perguntar: E se acontecesse isso? Vale a pena habilitar um "intruder lockout" para bloquear a conta quando a senha estiver incorreta por mais de X vezes? O que pode gerar uma falha de segurança no momento do login? Desta forma, você pensará em todos os pontos que podem trazer vulnerabilidades dentro do seu sistema no momento do login dos usuários.

Pronto, o usuário está logado. Agora você terá que abordar cada ferramenta utilizada por ele, como Internet, serviços de e-mail, colaboração, instant messenger, etc. Aqui entram as necessidades de segurança levantadas na fase 2 da implementação da política.

Agindo desta forma você conseguirá abranger todas as tecnologias dentro da sua empresa e gerar normas e regras para utilização.

É importante existir dentro de sua política textos informando as penas para o não cumprimento dos assuntos relatados e exigidos pela política de segurança.

Após a aprovação e término de seu documento de política de segurança, será necessário realizar uma notificação dentro de sua empresa para mostrar e tornar disponível ao conhecimento de todos este valioso documento. De preferência, envie uma cópia deste documento para cada colaborador e salve-o em um diretório de rede acessível como leitura para todos os usuários.

Conclusão

Enfim, terminamos com esta breve ajuda sobre políticas de segurança. Lembrando que se você quiser, pode se basear na ISO 17799, que rege as normalizações de segurança da informação.