233這個(gè)信息安全策略的原文為A.5. l.'lPolicies for information Security，標(biāo)題A.5 Information security policies，句式稍有不同，但是應(yīng)該沒有特殊含義。

234在ISO/IEC 27002: 2013相應(yīng)的章節(jié)中，對(duì)方針和策略還是有解釋的：1）At the highest level，organizations should define an“information security policy: which is approved by management and which sets out the organization's approach to managingits information security objectives（在最高層，組織宜確定一個(gè)被管理層批準(zhǔn)且確立其管理信息安全目標(biāo)方法的“信息安金方鈦”。注意：a）信息安全方針是加日|號(hào)的，而且還能論個(gè)，可數(shù)；b）這里的描述來(lái)自ISO/IEC 27002: 2013，要求類型是should,華為‘苗……”，比較溫和，商量的口氣)，2）At a lower level，the information security pol.cy should be supported by topic-specific policies, which further mandate the implementation of information security controls and are typi - cally structured to address the needs of certain target groups within an organization or to cover certain topics（在低一些的層次，信息安全策略宜被特定主題的策略所支持，這些策略將進(jìn)一步強(qiáng)制信息安全控制的實(shí)施并且典型的結(jié)構(gòu)化為滿足特定組織內(nèi)目標(biāo)群的需要或后面一段西的意思是簫硌有的是舒尉特定久群的，有的是舒X巢一類事的，這‘個(gè)遵鬻初Z礦有的制度竣坑哥想保荇7，一致）。由于在英文中policy范圍很廣，可以指戰(zhàn)略層次的方針、方向，也可以指非常具體的規(guī)定、要求。因此在其解釋中分為“最高層(the highest level)”和“低一些的層次(a lower level)”兩部分，最高層的policy，就是我們中文版本中所討論的方針，和ISO/IEC 27002: 2013中5.2是一致的。低的policy，就是策略集，正文中沒有討論，主要集中在附錄A中。

235在原來(lái)ISO/IEC 27001：2005時(shí)代，A.5.1.1為“信息安全方針文件”，比較容易設(shè)計(jì)，肯定是一個(gè)文件，但是一旦成了policies，就要考慮發(fā)布形式，在ISO/IEC 27002: 2013中認(rèn)為：信息安全策略（集）能發(fā)布在一個(gè)單獨(dú)的“信息安全方針”文件或者以一套單獨(dú)但相關(guān)的文件(Policies for.nformation security can be issued in a single“information security policy”document or as a set of individual but related documents).

236為了不糾纏于這些詞匯，其包含的內(nèi)容如下表所示