情報セキュリティ方針は、経営層が組織の基本的な考えや方向を公式に示す文書です。具体的な対策や行動は、この方針と整合するように定めます。
対策基準は守るべき具体的水準、実施手順は日々の実行方法です。監査基準は評価のための物差しなので、経営の基本姿勢を宣言する方針とは階層・役割が異なります。