结论：员工并非必须签署信息安全承诺书，但在特定情况下，公司要求员工签署是合法且合理的，关键在于承诺书的内容是否合法、合理，以及员工是否在自愿的基础上签订。
合法且合理的情形
符合法律法规和政策要求：
- 信息安全承诺书应基于相关法律法规和政策制定，如《中华人民共和国网络安全法》、《中华人民共和国保守国家秘密法》等。这些法规要求企业保护信息安全，防止信息泄露，企业通过承诺书明确员工在信息安全方面的责任和义务，是合法且必要的。
- 例子：在金融行业，员工处理大量敏感客户信息，签署信息安全承诺书有助于确保客户信息的安全，符合行业监管要求。
明确双方权利义务：
- 承诺书应清晰界定公司和员工在信息安全方面的权利和义务。公司有义务提供信息安全培训和必要设施，员工则需遵守信息安全规定，及时报告信息安全隐患。
- 例子：承诺书中可以规定员工不得将公司敏感信息泄露给第三方，同时公司应提供加密通信工具等安全措施。
企业管理需要：
- 对于涉及大量敏感信息的企业，如科技公司、咨询公司等，签署信息安全承诺书是加强内部管理和提高员工信息安全意识的有效手段。
- 例子：科技公司可能要求员工承诺不将公司源代码泄露给竞争对手，以保护公司的核心竞争力。
内容合法且不侵犯员工权益：
- 承诺书内容必须符合法律规定，不得包含违法或侵犯员工合法权益的条款，如要求员工放弃因信息安全问题导致的赔偿权利等。
- 例子：承诺书中不得规定员工因信息泄露需承担无限赔偿责任，这样的条款可能因违反法律规定而无效。
员工自愿签订：
- 员工应在自愿的基础上签订信息安全承诺书，不能被强迫或受到不当压力。如果员工被迫签订，承诺书可能被视为无效。
- 例子：公司不能以辞退为威胁要求员工签订承诺书，这样的行为可能构成胁迫，导致承诺书无效。
不合法或不合理的情形
排除员工合法权益：
- 如果承诺书排除了员工依据法律应享有的权益，如因信息安全问题导致的赔偿权利，那么该承诺书将被认定为无效。
设置不合理义务：
- 要求员工承担超出其能力范围或与实际工作不符的信息安全义务，也是不合法的。例如，要求员工在没有足够安全培训的情况下处理高度敏感信息。
以欺诈、胁迫等手段签订：
- 如果公司通过不正当手段迫使员工签署承诺书，如威胁降薪、调岗等，那么该承诺书在法律上是可撤销的。
法律建议
- 对于公司：在要求员工签署信息安全承诺书时，应确保承诺书内容合法、合理，不侵犯员工权益，并明确双方的权利和义务。同时，应确保员工在自愿的基础上签订承诺书，避免使用胁迫或欺诈手段。
- 对于员工：在签署信息安全承诺书前，应仔细阅读承诺书内容，确保自己理解并同意其中的条款。如果承诺书内容存在违法或不合理之处，或自己是在被迫的情况下签订的，应及时向公司提出异议或寻求法律帮助。
如有任何关于信息安全承诺书或劳动纠纷方面的疑问，可以直接向我咨询，我会为你提供专业的法律意见。