Det är ett sätt för verksamhetens ledning att på ett systematiskt sätt styra arbetet med informationssäkerhet i syfte att planera , genomföra , kontrollera , följa upp , utvärdera och förbättra säkerheten i verksamhetens informationshantering .