ウチの場合は
・当然ながら起動時のパスワードを掛ける
・持ち出しますよＰＣ　の事前登録
・データ部分には暗号化を施して保存していること
　　もしくは”秘文”を導入してＨＤＤ全体を暗号化すること
　　もしくは一切のデータを入れない状態にすること
　　　　（その場合のデータは暗号化ＵＳＢメモリを使用する）
・持ち出すデータは社内に同じものを保存しておくこと
・持ち出すときに記録を付ける　そのとき”社内に同じもの”は何かを記する
　　　（日時、担当者、行先、目的、．．は当然）
・持ち帰ったときに　結果を記録に追記する
・職場の情報管理者（部長クラス）　は記録を見て　その通りに運用されたか確認して承認する
・年に１回くらい内部監査でこの記録をチェックする

ポリシーというよりは運用ルールにしています。
目的は「ＰＣやＵＳＢメモリが紛失・盗難の場合でも他人がデータを見れない状態であること」「ＰＣやＵＳＢメモリが紛失・盗難の場合でも何のデータが漏洩の可能性があるかがわかること（社内に同じものを置くのはそのためです）」

こんなところです

こんにちわ、既にdesatoさんが網羅的な回答されてますので補足です。

実際、PCの紛失・盗難にあった場合のルールも重要です。
エスカレーションルート、社外説明方法や経営層の関与タイミングなど……
新聞沙汰になってからでは後手ですからね……