Реалізація цілей управління, а також заходів і засобів контролю та управління справжнього національного стандарту спрямована на задоволення вимог, визначених оцінкою ризиків. Даний стандарт може служити практичним посібником з розробки стандартів безпеки організації, для ефективної практики менеджменту безпеки організацій та сприяє зміцненню довіри у відносинах між організаціями.

Після того як були визначені вимоги до безпеки і ризики безпеки і прийняті рішення щодо обробки ризиків, слід вибрати і впровадити такі заходи і засоби контролю і управління, які забезпечать впевненість у зниженні ризиків до прийнятного рівня. Заходи і засоби контролю і управління можуть бути обрані з цього документа та інших джерел, а також можуть бути розроблені нові заходи і засоби контролю і управління, що задовольняють специфічні потреби організації. Вибір заходів і засобів контролю та управління залежить від рішень організації, заснованих на критеріях прийняття ризиків, варіантах обробки ризиків і загальний підхід до менеджменту ризиків, що застосовується в організації. При цьому необхідно також враховувати всі відповідні національні та міжнародні закони і норми.

Інформація та підтримуючі її процеси, системи та мережі є важливими діловими активами. Визначення, досягнення, підтримка і поліпшення інформаційної безпеки можуть бути істотними аспектами для підтримки конкурентоспроможності, грошового обороту, прибутковості, дотримання законів і комерційного іміджу.

Інформація - це актив, який, подібно до інших активів організації, має цінність і, отже, повинен бути захищений належним чином, що важливо для бізнес-середовища, де спостерігається все зростаюча взаємозв'язок. Як результат такої дедалі більшою взаємозв'язку, інформація в даний час піддається зростаючої кількості і які охоплюють ширший діапазон загроз і вразливостей (див. Також Керівництво ОЕСР - організація економічного співробітництва та розвитку - OECD - Organization for Economic Cooperation and Development) щодо забезпечення безпеки інформаційних систем і мереж [16].

Одне з джерел складається з оцінки ризиків організації, беручи до уваги загальну стратегію і цілі бізнесу організації. За допомогою оцінки ризиків ідентифікуються загрози активам організації, оцінюються уразливості і ймовірності виникнення загроз, а також оцінюються можливі наслідки.

Вимоги безпеки визначаються за допомогою систематичної оцінки ризиків. Витрати на заходи і засоби контролю і управління повинні бути порівнянні з можливими збитками бізнесу в результаті відмови від забезпечення безпеки.

Окремі заходи і засоби контролю і управління можуть розглядатися як відповідна відправна точка інформаційної безпеки. Такі заходи і засоби контролю і управління або ґрунтуються на ключових вимогах законодавства, або розглядаються як загальноприйнята практика в області інформаційної безпеки.

Інцидент інформаційної безпеки (information security incident) – Будь-який інцидент інформаційної безпеки, що є наслідком одного або кількох небажаних або несподіваних подій інформаційної безпеки, які мають значну ймовірність компрометації операції бізнесу або створення загрози інформаційній безпеці.

Інформаційна безпека (information security) – Захист конфіденційності, цілісності та доступності інформації; крім того, сюди можуть бути віднесені й інші властивості, наприклад автентичність, підзвітність, неспростовності і надійність.

Міра і засіб контролю і управління (control) – Засіб менеджменту ризику, що включає в себе політики, процедури, рекомендації, інструкції або організаційні структури, які можуть бути адміністративного, технічного, управлінського або правового характеру.

Засоби обробки інформації (information processing facilities) – Будь-яка система обробки інформації, послуга чи інфраструктура, або їх фактичне місце розташування.

Подія інформаційної безпеки (information security event) – Будь-яка подія інформаційної безпеки, яка дозволяє ідентифікувати вас появою певного стану системи, сервісу або мережі, що вказує на можливе порушення політики ІБ або відмова захисних заходів, або виникнення невідомої раніше ситуації, яка може мати відношення до безпеки.

Оцінка ризиків повинна ідентифікувати ризики, визначити кількість і пріоритети ризиків на основі критеріїв для прийняття ризику і цілей, які є значущими для організації. Результати повинні служити орієнтиром і визначати відповідні дії керівництва і пріоритети менеджменту ризиків інформаційної безпеки, а також реалізацію заходів і засобів контролю та управління, обраних для захисту від цих ризиків. Може виникнути необхідність в неодноразовому виконанні процесу оцінки ризиків і вибору заходів та засобів контролю і управління для того, щоб охопити різні підрозділи організації або окремі інформаційні системи.