最高管理层应建立信息安全方针、该方针应包括对持续改进信息安全管理体系的承诺。