5.2方針

最高管理層應建立信息安全方針，該方針應：

a)與組織意圖相適宜；

b)包括信息安全目標(見6.2)或為設定信息安全目標提供框架；

c)包括對滿足適用的信息安全相關要求的承諾；

d)包括對持續改進信息安全管理體系的承諾。

信息安全方針應：

e)形成文件化信息并可用；

f)在組織內得到溝通；

g)適當時，對相關方可用。