資訊安全管理政策文件應具備下列幾點：（1）資訊安全的定義、整體目標、涵蓋範圍並闡明當組織的員工在享受資訊化所帶來的便利時，資訊安全與管理機制的重要性。（2）就組織而言，簡述資訊安全管理政策、原則、標準與和合法要求等。例如，必須遵守法律規定事項或契約義務、資訊委外、資訊設備外購等資訊安全的需求，資訊安全教育、預防與偵測電腦病毒及其他惡意軟體、企業永續經營的管理、違反資訊安全管理政策的後果等。（3）說明管理階層執行的目的，並表示支持資訊安全的目標與實施原則。（4）製作資訊安全管理政策的說明文件及作業資料。例如，針對特定資訊系統較詳盡的作業程序、資訊安全控管文件或使用者應遵守的安全規則等資料。
| 2 |
| |
 
|
