Przy tworzeniu polityki bezpieczeństwa zarząd firmy wspólnie z informatykami powinien określić dwa parametry:
Pierwszy z nich - RPO (Recovery Point Objective) - określa moment w przeszłości, w którym po raz ostatni została wykonana kopia danych i do którego momentu działalności będzie można wrócić. Czas ten jest różny i zależy głównie od charakteru działalności - jednym wystarczy kopia sprzed tygodnia, inni zaś potrzebują danych sprzed kilkunastu sekund.
Drugi ważny parametr - RTO (Recovery Time Objective) - określa maksymalny czas po awarii potrzebny do przywrócenia działania aplikacji, systemów i procesów biznesowych. Określając parametr RTO, należy doprowadzić do kompromisu między potencjalnymi stratami a kosztami rozwiązania umożliwiającego jak najszybsze odtworzenie stanu sprzed awarii.