企業の情報システムをセキュリティの観点からどのように管理・保護するかを規定する基本方針。企業がシステム上に保有する情報へのアクセス権限の設定や情報の暗号化によって、不正アクセスや機密漏洩などを防止するための方針を定めたり、システム障害やコンピュータウィルスによるデータやシステムの破壊といったトラブルに際しての対処方法などを明確化することで、情報セキュリティを適正に確保するための判断基準とする。