Informationssäkerhetspolicyn är det viktigaste verktyget för att utforma informationssäkerhet i ett företag. Det definierar allt informationssäkerhetsstöd för företag, dess strategiska och operativa riktlinjer och fokus. Säkerhetsstandarder definierar informationssäkerhetspolicy som en obligatorisk och central utgångspunkt för företagens säkerhetsverksamhet. Trots frågans betydelse finns det inget metodologiskt stöd för utvecklingen av informationssäkerhetspolitiken. Detta leder till att organisationens kärnverksamhet och andra behov förbises. Företagets informationssäkerhet kan då fokusera på fel saker utifrån organisationens affärsbehov och tillgångar. Detta leder till betydande problem, varav det mest typiska är att informationssäkerheten i en organisation inte stöder organisationens andra verksamhet i företagets strategi, utan är en avmattning. Ett annat problem, som återspeglas i bristen på utveckling av säkerhetspolitiken, återspeglas i det urskillningslösa förvärvet av säkerhetslösningar: förvärvet av säkerhetslösningar styrs av ”övriga har lösningen”, eller ”detta kan behövas”, snarare än baserat på strategisk utveckling och med utgångspunkt i optimalt affärsstöd. Projektet kommer att utveckla en vetenskapligt testad metodik för att utveckla en organisationsspecifik säkerhetspolicy som är lämplig för varje objekt, organisation eller system. Metoden utvecklas i praktiken i olika sammanhang av deltagande företag i samarbete med Jyväskylä-fakulteten för informationsteknologi och Åbo handelshögskola. Affärspartners, såsom Digia Finland Oy, Ixonos Oyj, Net Man Oy och Relator Oy, representerar olika delar av näringslivet, bland annat kommuner och städer, storföretagskontext och små och medelstora företags sammanhang samt kritiska system. Detta kommer att säkerställa att den nya metod som ska utvecklas kommer att skalas upp.