本標準規定了在組織環境下建立、實現、維護和持續改進信息安全管理體系的要求。本標準還包括了根據組織需求所剪裁的信息安全風險評估和處置的要求。
　　
　　本標準規定的要求是通用的，適用于各種類型、規模或性質的組織。當組織聲稱符合本標準時，不能排除第4章到第10章中所規定的任何要求。