Policy Framework
組織(organization)由人(person)組成。它跟自然人(natural person)一樣也可以成為法律實體(legal entity)或所謂的法人，具有法律身份(identity)、享有法律上的權力與義務。組織內的人被賦予責任(responsibilities)與權力(authorities)，透過彼此的協作讓組織運作(operations)，來達成組織的目標。能代表組織作出決策的人在ISO的標準中稱為高階管理層(top management)，在WUSON的課程中則稱為治理(governance)階層或經營高層。

經營高層對組織行為及發展方向的期待稱為管理意圖(management intent)。文件化的管理意圖就代表組織的政策(policy)。政策除了展現經營高層的管理意圖，通常會對組織人員提出要求(requirement) — 一種可衡量、文件化、強制性的需要(need)或期待(expectation)。這些強制性的政策要求或指示，通常會配套的發展出相關的標準(standard)、規則(rule)、作業程序(procedure)、參考指引(guideline)，或提供指導正確行為或有效決策的原則(principle)等。政策、標準與程序這些文件在ISO 標準中常被稱為三階文件，若再加上記錄與表單則稱為四階文件。

資訊安全政策必須被充分揭露及有效溝通，讓組織的人員都能了解經營高層對於資訊安全的要求與期待。透過標準及程序的制定，讓人員都能依照制度的規範來進行決策與行動。無法白紙黑字或三言二語寫清楚的規範，可以透過指引來提供給更多的資訊、參考資料，或行事與決策原則，以賦能(empower)員工與催生當責(accountability)文化。

參考資料
Organization Policy Requirement and Principle
資料來源：https://wentzwu.medium.com/%E7%B5%84%E7%B9%94%E6%94%BF%E7%AD%96%E8%88%87%E5%8E%9F%E5%89%87-82fb4cc1c296
PS:經作者同意轉載