本文件规定了在组织范围内建立，实施，维护和持续改进信息安全管理系统的要求。本文件还包括根据组织的需要对信息安全风险进行评估和处理的要求。本文件中规定的要求是通用的，旨在适用于所有组织，无论其类型，规模或性质如何。当一个组织声称符合本文件时，不包括第4至10条规定的任何要求是不可接受的。