一般来说，没有特别的需要，为信息安全的投入不应超过信息化建设总投资额的15%，过高的安全成本将使安全失去意义。
由于网络技术的发展，网络攻击工具唾手可得，再加上组织对信息化的依赖性越来越强，这在某种程度上造成信息安全的信息防御的成本越来越高，而攻击的成本则越来越低。所以安全预算计划是一项具有挑战性的工作，要采用“适度防范”的原则，把有限的资金用在刀刃上。
在制订预算计划时考虑以下几点：
首先，不应把部署所有安全产品与技术作为目标，因为某些风险可能并不存在，某些风险组织可以容忍和接受。
其次，没有必要去为追求信息安全的零风险，加固所有的安全弱点，这些弱点可能因为成本、知识、文化、法律等方面的因素，没有人能利用它们。
第三，没有必要无限制地提高安全保护措施的强度，只需要将相应的风险降到可接受的程度即可。
对安全保护措施的选择还要考虑到成本和技术等因素的限制。
