Het managementsysteem voor informatiebeveiliging beschermt de vertrouwelijkheid, de integriteit en de beschikbaarheid van informatie door een risicobeheerproces toe te passen, en geeft belanghebbenden het vertrouwen dat risico’s adequaat worden beheerd.

Het is belangrijk dat het managementsysteem voor informatiebeveiliging deel uitmaakt van en geïntegreerd is met de procedures van de organisatie en met de algehele managementstructuur, en dat informatiebeveiliging in aanmerking wordt genomen bij het ontwerpen van processen, informatiesystemen en beheersmaatregelen.

Het managementsysteem kan worden afgestemd op de eisen van de eigen organisatie maar ook op de wensen van externe partijen zodat deze kunnen beoordelen of de relatie voldoet aan de beveiligingseisen die ze hieraan stellen. De basis bestaat uit de high profile structuur welke gedeeld wordt met de andere ISO normeringen zoals de ISO 27001. De ISO 27001 wordt hier in geïntegreerd en krijgt daarnaast een eigen deel waarin alle specifieke ICT zaken worden ondergebracht.
De ISO 27001 wijkt af van de ISO 9001 doordat hierin specifiek praktische eisen worden gesteld aan de organisatie waaraan moet worden voldaan zoals het implementeren van specifieke beveiligingsoplossingen.