セキュリティポリシーは、組織が実施する安全保障対策の総体を指します。物理的セキュリティ、情報セキュリティ、人的セキュリティなど多角的な対策を包含する、より広い概念です。民間企業から公共機関まで幅広く使用される、実装的・具体的なルールや手順を含みます。
情報セキュリティ方針は、組織の情報資産を守るための基本方針です。個人情報、営業秘密、システムデータなど、情報保護に特化した経営方針として位置づけられます。より形式的で、企業の経営層が発表する宣言的性質が強く、ISO27001などの国際規格と連動します。
使う場面では、セキュリティポリシーは現場レベルの具体的な実行規則として、情報セキュリティ方針は経営層の方針宣言として機能します。ニュアンスでは、前者は「規則・対策」で実装的、後者は「基本方針・姿勢」で戦略的です。対象では、セキュリティポリシーは物理・情報・人的セキュリティと多範囲、情報セキュリティ方針は情報資産保護に限定されます。
組織全体の安全対策全般を述べる場合はセキュリティポリシー、経営層が情報資産保護を宣言する場合は情報セキュリティ方針を使用します。公式文書や規格対応時は情報セキュリティ方針の使用が一般的です。