随笔：小议如何建设信息安全管理方针政策

泄密者 6 月 22, 2017 7 0

企业在实施信息安全管理的过程中，制定信息安全方针政策是非常关键的工作。信息安全方针是信息安全管理工作的纲领，用于指明信息安全工作的方向，指导信息安全管理的基本工作原则。

制定信息安全管理方针政策，首先要确定方针政策的发布者，发布者在企业组织结构中的位置在相当程度上决定了信息安全管理方针的权威性，类同法律体系中的法律、法规的颁布机构。笔者认为，在信息科技已经融入企业核心生产的今天，信息安全管理方针政策由企业最高管理者（管理层）发布为最佳。

信息安全管理方针政策的首要任务是设置信息安全的目标，目标的设定应简单明确，例如：“保护企业信息的机密性、完整性与可用性”，良好的做法还包括为信息安全政策设置一个简短、朗朗上口的宣贯口号，例如：“信息安全、企业未来，管技结合、内外并重，预防为上、防范为辅，全员有责、高层表率”

由于信息安全管理的方针政策的统领特性以及由企业高层管理者颁布的因素，笔者认为该方针政策需要一个良好的策略来作为编制原则，例如：

简练：信息安全管理方针政策是企业的正式文件，因此应以书面语言编制为根本，采用短句以便于阅读，避免使用修饰性词语避免度量性上的缺陷。

清晰：信息安全管理方针政策应尽量避免发生理解上的歧义，由于中文是二义性较高的语言，因此组织语言使方针政策的各条款具有高度的清晰性是个非常具有挑战的工作。例如：“信息访问权限应当依据工作职责需要进行设置”vs“应当禁止全部不必要的权限访问”，前者在编制流程、实际操作中更具备可行性。

完备：信息安全管理方针政策包含的内容需要指导流程文件、作业指导书、记录模板等文件的编写，为了使后续工作能够在方针政策中找到指导，因此方针政策的编写应当完备，良好的做法包括参考参考被广泛接受的国际标准、最佳实践，例如：ISO27000系列标准作为参考，对方针政策的完备性进行检查。

信息安全管理方针政策是信息安全管理体系中的核心，希望以上分享能给做信息安全管理工作的朋友们带来一些启发。