信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，涉及较多的为：

标准要求组织建立风险评估管理模型，进行信息安全风险的分析，并对其进行实施控制措施，以此达到信息安全保护的目的。标准也提供了控制目标和控制的参考列表，包含14个控制域，35个目标，114个控制措施。组织在建立自己的控制措施时，需与标准进行比较，验证没有遗漏必要的控制措施。