Vanuit het centrale bedrijfsbeleid wordt een beveiligingsbeleid geformuleerd, waar het Cyber Security Beleid weer een onderdeel van is. Je zou kunnen beargumenteren dat alles draait om toegangscontrole, of dat nu fysiek is (in een gebouw) of virtueel (in een computersysteem). Belangrijk is in elk geval dat het Cyber Security Beleid is afgestemd op het doel, beleid en de waarden in de organisatie. Die bepalen voor een groot deel de Baseline, ofwel Risk Appetite, die een organisatie heeft. Dat wil zeggen: welke risico’s worden geaccepteerd, overgedragen of gemitigeerd? Als een organisatie uit zichzelf al risico-avers is, zal het uiteindelijke beleid er waarschijnlijk anders uitzien dan wanneer een organisatie uit zichzelf juist risicozoekend is. Daarbij kampen sommige organisaties met een impliciet verhoogd risicoprofiel; denk daarbij aan politieke, militaire, religieuze of financiële instellingen en de zorg.