Prezado Luciano,
Quanto ao uso de politicas de segurança, ou estabelecimento das mesmas, indico fortemente o site do ISACA,
www.isaca.org com órgão referência na área de SI. E vai ajudar voce alinhar as coisas
Quanto a modelo propriamente dito, existe um no site da USP, muito bom!!Mas quando falamos de punições com relação a transgreção dessas regras, fico bastante preocupado e dou um dica que pense uma boa punição. Claro que um punição que impacte no "bolso" as vezes pode ser a mais efetiva. Mas indico você a avaliar outras tantas e "alternativas".
Espero ter ajudado,
Att,
Adm. Eduardo Friere, MCTS, MSP, MBA-FGV
http://cefweb.spaces.live.comhttp://www.twitter.com/eduardofreire
Eduardo Freire
Blog: http://blog.interface.eti.br - Caso tenha resolvido, por favor classifiquem a resposta!