ПРД определяют, что требуется защищать. Эта часть рассматривает СРД и специфицирующие шаги, которые нужно предпринять для проведения в жизнь ПРД.

3.1 ПРД определяют, что нужно защищать
3.2 Идентификация возможных проблем
3.3 Выбор мер безопасности для защиты ценностей наиболее эффективным способом
3.4 Использование нескольких стратегий для защиты ценностей
3.5 Физическая секретность
3.6 Процедуры для выявления несанкционированных задач в АС
3.7 Определите действия, предпринимаемые при подозрении на несанкционированную задачу
3.8 Взаимодействие с людьми при организации защиты
3.9 Ресурсы, закрывающие бреши в защите

3.1 ПРД определяют, что нужно защищать.

ПРД определяют: что нужно защищать, что является наиболее важным, каковы приоритеты, и каким должен быть общий подход при решении проблем защиты.

ПРД сами по себе не определяют, КАК защищать. Это - задача СРД, которым и посвящен этот раздел. ПРД должны быть документом концептуального уровня, описывающим общую стратегию. СРД же нужны для того, чтобы детально описать, какие конкретные шаги должна предпринять организация для собственной защиты.

ПРД должны включать анализ риска угроз, которым может подвергаться организация, и последствия этих угроз (смотри раздел 2.2). Анализ риска должен включать общий список ценностей, которые нужно защищать (раздел 2.2.2). Эта информация важна для создания наиболее эффективной СРД.

Часто возникает соблазн начать создание СРД сразу с описания механизмов: "наша организация должна зарегистрировать пользователей компьютеров, модемов и смарт-карт". Это подход может привести к тому, что некоторые области будут слишком защищены, а некоторые недостаточно. Если же вы начали с создания ПРД и описания в ней всех рисков, то можете быть уверенным, что ваша СРД обеспечит нужную степень защиты для всех ценностей.