信息安全政策应根据组织变化和外部安全环境的变化进行定期更新，确保其持续有效。