ISO/IEC 27003(資訊安全管理系統實作指引, ISMS-implementation guidance)附錄A
階段1: 取得管理階層核可啟動ISMS專案
步驟5
活動:初步定義ISMS範圍(Define preliminary ISMS Scope)
輸入:步驟3,4
輸出:
ISMS初步範圍的描述(Description of preliminary scope of ISMS)
ISMS角色和責任的定義(Definition of ISMS roles and responsibilities)
對應ISO27001條款:N/A
在完成了步驟3,4，取得了ISMS目標、資訊安全需求及營運要求的摘要以及法規、遵循性以及適用于該組織的行業標準的摘要後，就可以開始著手進行ISMS初步範圍的定義以及ISMS角色和責任的定義。
其中ISMS初步範圍可就下列進行描述
＊外部要求摘要
＊與其他管理系統的關係
＊資訊安全管理的業務目標
＊關鍵業務流程、系統、資訊資產、組織結構和地理位置
＊現有的管理系統，法規、遵循性與組織目標的關係
＊業務、組織，位置、資產和技術特點。
ISMS角色和責任則包括
＊管理層階的責任
＊指定一人擔任資安長(CISO, Chief Information Security Officer)來督導與協調資訊安全相關工作
＊每個員工都同樣負責他的原本任務，並負責在組織工作場所中維護資訊安全。

建立資訊安全管理系統的組織包含各個部門，範例如后：

附錄Ｂ對於相關角色與職責有更新一步的說明，有興趣的人可以進一步參考。

相關連結
30天ISMS導入分享－４
http://ithelp.ithome.com.tw/question/10077724
30天ISMS導入分享－５
http://ithelp.ithome.com.tw/question/10078015