Denne internasjonale standarden inneholder retningslinjer for organisasjoners standarder for informasjonssikkerhet og praksis for styring av informasjonssikkerhet, herunder valg, implementering og styring av sikringstiltak, der det tas hensyn til organisasjonens miljø(er) for informasjonssikkerhetsrisiko. Denne internasjonale standarden er utarbeidet for å brukes av organisasjoner som har til hensikt å: a) velge sikringstiltak som en del av prosessen med å implementere et ledelsessystem for informasjonssikkerhet basert på NS-EN ISO/IEC 27001;[10] b) implementere alminnelig aksepterte sikringstiltak for informasjonssikkerhet; c) utvikle sine egne retningslinjer for styring av informasjonssikkerhet.