ISO∕IEC 27001：2013&GB∕T 22080-2016信息技术 安全技术 信息安全管理体系要求第5章

5.1  领导和承诺 

最高管理层应通过以下活动，证实对信息安全管理体系的领导和承诺： 

a） 确保建立了信息安全策略和信息安全目标，并与组织战略方向一致； 

b） 确保将信息安全管理体系要求整合到组织过程中；

c） 确保信息安全管理体系所需资源可用；

d） 沟通有效的信息安全管理及符合信息安全管理体系要求的重要性；

e） 确保信息安全管理体系达到预期结果；

f） 指导并支持相关人员为信息安全管理体系的有效性做出贡献；

g） 促进持续改进；

h） 支持其他相关管理角色，以证实他们的领导按角色应用于其责任范围。

5.2  方针

最高管理层应建立信息安全方针，该方针应：

a） 与组织意图相适宜；

b） 包括信息安全目标（见6.2）或为设定信息安全目标提供框架；

c） 包括对满足适用的信息安全相关要求的承诺；

d） 包括对持续改进信息安全管理体系的承诺。

信息安全方针应：

e） 形成文件化信息并可用；

f） 在组织内得到沟通；

g） 适当时，对相关方可用。

5.3  组织的角色，责任和权限

最高管理层应确保与信息安全相关角色的责任和权限得到分配和沟通。

最高管理层应分配责任和权限，以：

a） 确保信息安全管理体系符合本标准的要求；

b） 向最高管理者报告信息安全管理体系绩效。