まぁ、ポリシーがあればいい、という単純な話なわけでもないんだけどね。

ここが知りたい!　SMBのためのセキュリティ対策【第2回】

「情報が漏れた、どうすれば？」というときのためのポリシー

http://techtarget.itmedia.co.jp/tt/news/0804/08/news01.html

運用に支障が出た場合には、変更することにちゅうちょすべきではない。ただしそれは、新しいセキュリティポリシーの“創造”であるべきだ。セキュリティと利便性の間のどこかに妥協点を見つけて、ユーザーに納得してもらう努力をしなければならない。

その「創造する努力」が、管理側にも利用者側にも足りないよね(´・ω・｀)