本国际标准规定了在组织背景下建立、实施、维护和持续改进信息安全管理体系。本标准还包括信息安全风险评估和处置要求，可裁剪以适用于组织。本国际标准的要求是通用的，适用于所有的组织，不考虑类型、规模和特征。