关于信息安全策略，下列说法正确的是（）

A.信息安全策略可以分为上层策略和下层策略

B.信息安全方针是信息安全策略的上层部分

C.信息安全策略必须在体系建设之初确定并发布

D.信息安全策略需要定期或在重大变化时进行评审