リスクアセスメントおよびリスク対応セキュリティ基本方針―管理方針情報セキュリティのための組織―情報セキュリティのガバナンス資産の管理―情報資産の目録と分類人的資源のセキュリティ―従業員の雇用／異動／解雇に伴うセキュリティ物理的及び環境的セキュリティ―コンピュータ機器の保護通信及び運用管理―システムおよびネットワークにおける技術的セキュリティの管理アクセス制御―ネットワーク／システム／アプリケーション／機能やデータへのアクセス権制限情報システムの取得、開発及び保守―アプリケーションへのセキュリティ組込み情報セキュリティインシデントの管理―違反の予測と、違反に対する適切な対処事業継続管理―業務上の重要なプロセスとシステムを保護し、保守し、復旧する順守―情報セキュリティポリシー／規格／法律／規定の順守の徹底各章の中で、情報セキュリティ制御とその目的が述べられている。
所谓的C-I-A三原则是指必须保护C-机密性(确保只有被授权存取的使用者能存取资讯)、I-完整性(保护资讯与处理程序的准确性与完整性)、及A-可用性(确保被授权的使用者在他需要存取资讯的时候一定能存取得到).在简介章节之后，这个标准包含以下十二个主要章节:风险管理安全政策-管理方向资讯安全组织-资讯安全的管理资产管理-资讯资产的清单与分类人力资源安全-以安全的角度来看员工对于组织的任用、调职、及离职实体于环境安全-电脑设备的保护通讯与作业管理-安全控管技术于系统与网络的管理存取控制-限制网络、系统、应用程序、功能、及资料的存取权限资讯系统的取得、开发、与维护-将安全内建到应用程序中资讯安全事故管理-对于资讯危安的预防与反应对策事业营运计划-保护、管理、及复元企业重要的流程及系统相容性-确保对于资讯安全的政策、标准、法律及规范的遵守在各章节中,资讯安全控管及它们的目标被明确的指出并描述。