(O) 「セキュリティサービスと設備の利用と規制を統治するセキュリティ機関によって敷かれた一式のルール。」 [X509]

(C) Ravi Sandhu は、「セキュリティポリシーは、（下図のように）セキュリティエンジニアリング過程の 4 つの層のひとつである」と記している。各層は、「どのサービスが必要とされているか？」ということから「どのようにサービスが実装されているか？」ということまで様々な観点のセキュリティを提供する。

         どのサービスが必要とされているか？
          ^
          | + - - - - - - - - - - - +
          | | Security Policy          |
          | + - - - - - - - - - - - +     + - - - - - - - - - - - - - - +
          | | Security Model          |     | A "top-level specification"  |
          | + - - - - - - - - - - - +           | | Security Architecture |     | but above "architecture".
イリノイ州の賃金率は何ですか   |
          | + - - - - - - - - - - - +     + - - - - - - - - - - - - - - +
          | | Security Mechanism   |
          | + - - - - - - - - - - - +
          v
         どのようにサービスが実装されているか？