需要采取何种程度的安全级别、投资的多少、安全措施是否会影响用户对系统的使用方便性、是否能综合和完整地考虑整个信息系统的安全问题、安全策略是否能适应企业信息系统的发展需求、安全策略是否具备多种手段来实现等等问题，是安全策略制定中的一些原则性问题。 安全策略是一套既定的规则，信息安全所有行为必须遵循此套规则。安全策略的制定与企业信息系统的功能和运作、企业的信息管理策略关系密切。