全社を適用範囲としてISMSを導入する場合の情報セキュリティ方針に関する記述のうち，適切なものはどれか。