233這個信息安全策略的原文為A.5. l.'lPolicies for information Security，標題A.5 Information security policies，句式稍有不同，但是應該沒有特殊含義。

234在ISO/IEC 27002: 2013相應的章節中，對方針和策略還是有解釋的：1）At the highest level，organizations should define an“information security policy: which is approved by management and which sets out the organization's approach to managingits information security objectives（在最高層，組織宜確定一個被管理層批準且確立其管理信息安全目標方法的“信息安金方鈦”。注意：a）信息安全方針是加日|號的，而且還能論個，可數；b）這里的描述來自ISO/IEC 27002: 2013，要求類型是should,華為‘苗……”，比較溫和，商量的口氣)，2）At a lower level，the information security pol.cy should be supported by topic-specific policies, which further mandate the implementation of information security controls and are typi - cally structured to address the needs of certain target groups within an organization or to cover certain topics（在低一些的層次，信息安全策略宜被特定主題的策略所支持，這些策略將進一步強制信息安全控制的實施并且典型的結構化為滿足特定組織內目標群的需要或后面一段西的意思是簫硌有的是舒尉特定久群的，有的是舒X巢一類事的，這‘個遵鬻初Z礦有的制度竣坑哥想保荇7，一致）。由于在英文中policy范圍很廣，可以指戰略層次的方針、方向，也可以指非常具體的規定、要求。因此在其解釋中分為“最高層(the highest level)”和“低一些的層次(a lower level)”兩部分，最高層的policy，就是我們中文版本中所討論的方針，和ISO/IEC 27002: 2013中5.2是一致的。低的policy，就是策略集，正文中沒有討論，主要集中在附錄A中。

235在原來ISO/IEC 27001：2005時代，A.5.1.1為“信息安全方針文件”，比較容易設計，肯定是一個文件，但是一旦成了policies，就要考慮發布形式，在ISO/IEC 27002: 2013中認為：信息安全策略（集）能發布在一個單獨的“信息安全方針”文件或者以一套單獨但相關的文件(Policies for.nformation security can be issued in a single“information security policy”document or as a set of individual but related documents).

236為了不糾纏于這些詞匯，其包含的內容如下表所示