信息安全政策必须考虑业务需求、技术能力、法律法规以及社会责任，以确保政策的全面性和适用性。