"什么是信息安全政策？我们的政策应该写些什么？"这个问题通常在客户审计、供应商问卷或数据泄露之后出现。照搬现成模板看似简单，但与公司实际资产和风险不符的文本在第一次审计时就会显得毫无用处。
本文依据土耳其的三份公开资料以及ISO/IEC 27001的公开概述，介绍什么是信息安全政策、其作用是什么，以及公司政策可以包含哪些条目。这些条目并非凭空编造的模板；每一项都以下文所列资料中的措施领域为依据。
什么是信息安全政策？
信息安全政策是一份高层级文件，以书面形式规定公司保护其信息和信息系统的规则、职责和审查安排。具体的实施步骤一般载于政策所附的程序中。
ISO关于ISO/IEC 27001的概述页面指出，该标准为信息安全带来了一种整体方法，将人员、政策和技术结合起来。换言之，政策并不是替代技术保障措施的文件；它是将人员和技术保障措施纳入同一框架的纽带。关于该标准本身以及认证和版本的详情，见我们关于ISO 27001的文章。
信息安全政策的目的是什么？
各资料的共同点在于保护信息的保密性、完整性和可用性。第2019/12号总统通函将这些措施的目的界定为降低安全风险，尤其是确保关键数据的安全，因为这三项属性一旦受损可能造成严重后果。
就个人数据而言，KVKK的《个人数据安全指南》（Kişisel Veri Güvenliği Rehberi）指出，良好的政策能够事先识别风险并一致地采取措施。根据该指南，政策和程序应融入公司的运营；如果未能及时制定，就无法充分保障安全水平。这构成第6698号《个人数据保护法》（KVKK）第12条规定的采取技术和管理措施义务的管理层面；该法的其他义务概述见我们关于KVKK下企业义务的文章。
可以参考哪些框架？
第2019/12号通函。 该通函刊登于2019年7月6日的Resmî Gazete（土耳其官方公报），列出了21项措施，从在国内存储关键数据到使用企业电子邮件不等，并规定编制《信息与通信安全指南》。
《信息与通信安全指南》（Bilgi ve İletişim Güvenliği Rehberi）。 该指南第一版于2020年7月由数字化转型办公室（Dijital Dönüşüm Ofisi）发布；1.1版的日期为2026年3月。根据其版本表，此次更新是因为已撤销的该办公室的职权移交给了Siber Güvenlik Başkanlığı（网络安全局）。该指南适用于国家组织体系内的机构以及提供关键基础设施服务的企业。它对该范围以外的公司不具约束力，但由于其措施的编写独立于产品和技术，因此提供了一份很好的条目清单。该指南还附有一张将其内容与国际标准对应的附件表。
KVKK《个人数据安全指南》。 该指南日期为2025年4月，在其管理措施表中将访问、信息安全、使用、保存和销毁等领域的企业政策列为单独一项。
关于关键基础设施和《网络安全法》相关义务，见我们关于第7545号法律的文章。
信息安全政策示例条目
以下条目根据资料中作为独立措施领域出现的主题整理而成。并非每家公司都同等需要所有条目；应根据资产和风险进行选择。
| 政策条目 | 规范内容 | 来源 |
|---|---|---|
| 目的、范围和资产清单 | 需要保护哪些硬件、软件和数据 | BİGR 2.1.1、3.1.1–3.1.2 · KVKK管理措施 |
| 角色与职责 | 批准、实施和审计职责 | BİGR角色定义 · KVKK 2.2 |
| 风险评估 | 识别威胁并确定优先级 | KVKK 2.1 · ISO概述页面 |
| 数据分类 | 将数据划分为不同类别 | BİGR 3.1.7.1 |
| 访问控制与授权 | 开立和关闭账户、最小权限 | BİGR 3.1.12.1 · 通函第15条 |
| 密码与身份认证 | 密码规则、身份认证 | BİGR 3.2.1 · KVKK技术措施 |
| 企业电子邮件与通信 | 企业账户与个人账户分离 | 通函第18–19条 · BİGR 3.1.4 |
| 移动和便携设备 | 手机、笔记本电脑和外部存储的使用 | BİGR 3.3 · 通函第9–10条 |
| 远程办公 | 远程访问、设备和数据规则 | BİGR 3.1.14.1 |
| 备份与业务连续性 | 备份、灾难恢复 | BİGR 3.1.13 · KVKK 3.6 |
| 事件管理 | 网络事件响应与通报 | BİGR 3.1.10 · 通函第14条 |
| 供应商与云服务 | 合同与安全条款 | BİGR 3.5.3、4.3 · KVKK 2.5、3.4 |
| 培训、意识与纪律 | 员工培训、保密承诺 | BİGR 3.5.2 · KVKK 2.2 |
| 保存与销毁 | 数据保存期限与销毁 | KVKK管理措施 · BİGR 4.1.5 |
| 审查与审计 | 定期检查与更新 | KVKK 2.3 · BİGR 2.3.2 |
BİGR：Bilgi ve İletişim Güvenliği Rehberi（《信息与通信安全指南》，1.1版）。KVKK：Kişisel Veri Güvenliği Rehberi（《个人数据安全指南》）。通函：第2019/12号总统通函。编号为相应指南的章节或措施编号。
对于其中几个条目，资料强调了以下几点：
- 访问： KVKK指南建议以"未经许可，一切禁止"（İzin Verilmedikçe Her Şey Yasaktır）原则为访问权限的基础。通函同样要求包括高级管理人员在内的访问权限均应根据实际从事的工作授予。
- 纪律： 根据KVKK指南，应建立员工不遵守安全政策和程序时适用的纪律程序。
- 供应商： 同一指南要求公司确保其使用的数据处理者至少提供与公司自身同等的安全水平。相关风险在我们关于供应商相关数据泄露的文章中讨论。
- 发生事件时： 向个人数据保护委员会通报涉及个人数据的泄露的流程，见我们关于KVKK数据泄露通报的文章。
谁负责保持政策的时效性？
所查阅的资料中没有针对所有公司指定某一单位的规定。《信息与通信安全指南》将"信息安全经理"（Bilgi Güvenliği Yöneticisi）定义为负责确保和管理机构信息安全的工作人员；在实施过程中，该指南使用一个责任分配矩阵，区分负责、批准、咨询和知情等角色。KVKK指南同样要求，在政策和程序范围内，应定期进行检查、形成书面记录，并在更新后继续开展。
对于通函所涵盖的机构，还有单独的时间表：指南的实施情况每年必须至少审计一次。这对该范围以外的公司并非强制要求，但每年审查一次是一个合理的参考点。
从哪里开始？
- 列出您的资产： 如果不列出需要保护的系统和数据，所写的政策就会流于泛泛。
- 根据风险选择条目： 上表可作为检查清单使用；针对每个条目，将资料中的措施与您的现状进行比较。
- 确定负责人和时间表： 在文件中明确规定由谁批准政策、由谁实施以及多久审查一次。
常见问题
信息安全政策是法律要求的吗？ 所查阅的资料中没有要求所有公司都必须拥有一份名为"政策"的文件。但对于处理个人数据的公司，第6698号法律第12条规定必须采取技术和管理措施，而KVKK指南将企业政策列为这些管理措施之一。
ISO 27001认证是否需要政策？ ISO的公开概述指出，该标准规定了管理体系必须满足的要求，并将政策视为整体方法的一部分。要求的详细内容载于该标准的付费文本中。
结论
一份好的信息安全政策是一份简短、可操作的文件，它根据公司自身的资产和风险，从资料所界定的措施领域中进行选择。从Orient Global的角度看，在编写政策之前开展资产清点和差距分析，是确保文本经得起审计的最坚实起点。
本文仅供一般参考，不能替代法律建议。请就您自己的情况咨询您的顾问。
#interimmanagement #forwarddeployedengineering