A.在組織中,應由信息技術責任部門(如信息中心)制定并頒布信息安全方針,為組織的ISMS建設指明方向并提供總體綱領,明確總體要求
B.組織的管理層應確保ISMS目標和相應的計劃得以制定,信息安全管理目標應明確、可度量,風險管理計劃應具體,具備可行性
C.組織的信息安全目標、信息安全方針和要求應傳達到全組織范圍內(nèi),應包括全體員工,同時,也應傳達到客戶合作伙伴和供應商等外部各方
D.組織的管理層應全面了解組織所面臨的信息安全風險,決定風險可接受級別和風險可接受準則,并確認接受相關殘余風險