对安全策略的描述不正确的是？
A.信息安全策略应得到组织的最高管理者批准。
B.策略应有一个所有者，负责按复查程序维护和复查该策略。
C.安全策略应包括管理层对信息安全管理工作的承诺。
D.安全策略一旦建立和发布，则不可变更。
正确答案是D