O sistema de gestão de segurança da informação é uma forma de gerenciamento utilizada para estabelecer políticas baseadas na análise de risco do negócio. Para obter a certificação desse sistema a organização deve demonstrar capacidade de definir, implementar, operar, manter e sempre melhorar a segurança da informação.