トップマネジメントとは最高位で組織を指揮し、管理する個人または人々の集まりである。トップマネジメントは情報セキュリティ目的（後述）ないしその枠組の提示やISMSの組織プロセスへの統合と必要な資源の提供を行い、ISMSに関して重要性の伝達、成果達成の保証、指揮、支援を行う。
情報セキュリティの方針群.
ISMSを実施する組織は、組織の能力に影響を与える内部および外部の課題や、ISMSに関連する利害関係者の情報セキュリティに関する要求事項、他の組織との依存関係などを特定し、これらをもとにしてISMSの適応範囲の境界線や適応可能性を決定する。
情報セキュリティ方針は
が含まれねばならず、以下を含むことが望ましい
情報セキュリティ方針は情報セキュリティ目的もしくはそれを設定するための枠組みを含まねばならない。
情報セキュリティ目的は情報セキュリティ方針との整合性や実行可能な場合の測定可能性が求められ、「適用される情報セキュリティ要求事項，並びにリスクアセスメント及びリスク対応の結果を考慮に入れる」必要がある。
組織は，関連する部門及び階層において，情報セキュリティ目的を確立しなければならない
情報セキュリティの方針群の構成.
リスクマネジメント.
リスクマネジメント（risk management）とは、リスクについて，組織を指揮統制するための調整された活動であり、これを取り扱うリスクマネジメントの枠組み（risk management framework）は組織全体にわたって，
その基盤としてリスクを運用管理するための方針，目的，指令，コミットメントなどが含まれる。
上述の「リスクマネジメントの実践」では、リスクマネジメントプロセス（risk management process）が行われる。具体的には
のサイクルを回し、適時関係者間で必要なコミュニケーション（リスクコミュニケーション）を取る。
情報セキュリティリスクアセスメント.
「リスクアセスメントの取組方法の定義」では、リスク基準を策定し、情報セキュリティリスクアセスメントの一貫性、妥当性、比較可能性を保証するためのプロセスを定めて文書化する。