信息安全政策制定应遵循最小权限原则，即确保用户仅获得完成工作所需的最低权限，以降低潜在的安全风险。