组织的信息安全方针和活动能够反映组织的业务目标 组织实施信息安全的方法和框架与组织的文化相一致 管理者能够给予信息安全实质性的、可见的支持和承诺 管理者对信息安全需求、信息安全风险、风险评估及风险管理有深入理解 向全员和其他相关方提供有效的信息安全宣传以提升信息安全意识 向全员和其他相关方分发并宣贯信息安全方针、策略和标准 管理者为信息安全建设提供足够的资金 向全员提供适当的信息安全培训和教育 建立有效的信息安全事件管理过程 建立有效的信息安全测量体系