情報セキュリティ「ポリシー」と「プロシージャ（手順書）」の違いはどれか。

ポリシーは「What（何をすべきか）」と「Why」を示し、プロシージャは「How（どうやるか）」を示す。ポリシーは頻繁に変えるべきではない。