在系列文章的一開始先由管理系統的概念開始導入，先對管理系統的定義有些認知後，再回頭來看ISMS會比較能理解它到底是什麼，以及它要達到什麼目的，導入ISMS對組織的利益會是什麼。

資訊安全 (Information Security) 在這個處處充滿各類型資訊及系統的現代化資訊社會已經是不可或缺的重要事項，無論是個人或是組織，若沒有適當的保護資訊安全，會使得個人或組織處於不確定性 (uncertainly) 之下，而這些不確定性可能會導致個人或組織蒙受損失，例如個人資料外洩所導致的詐騙，又或是組織沒有管理好內部機密資料導致的機密外洩等等，在在都會使個人或組織發生損害；損害也會依不確定性所發生的程度及受影響的標的有著不同的規模，例如社群帳號被盜對每個人的損害程度就不一樣，一般人大概只是損失在該社群的資料，但對一位網紅來說損害可就大了，因為裡面可能有某些私密資料無法見光，又或是會被拿去犯罪等等。

對組織來說，未適當管理好資訊安全，意味著其他組織或客戶會因為對組織的資訊安全管理沒有信心，而不敢與組織有任何形式的合作 (比如擔心洩密、無法符合相關合規性，或無法滿足契約要求等)，對組織而言傷害會相當顯著，又或是組織沒有適當處理好相關的事故 (如組織系統被入侵、被植入勒索程式而使資料被竊取或破壞)，導致無法保證品質或履約事項，亦會使組織商譽受到相當損害，間接導致組織營運受影響等等，因此組織必須嚴肅並積極的面對資訊安全的議題，來保障對組織有價值的事物 (anything that has value to the organization, ISO 27002:2022 3.1.2)。

ISMS源自於英國標準BS 7799，於2000年時由ISO頒布ISO 17799:2000作為資訊安全管理規範指引 (Code of practices)，英國另在2002年頒布BS 7799-2，定義資訊安全管理系統的規格，並於2005年由ISO頒布為ISO 27001:2005，作為資訊安全管理系統的要求事項，ISO 17799則於2005年改版更新，後續ISO於2007年將ISMS的標準整合為ISO 27000，因此ISO 17799:2005於2007年7月更名為ISO 27002:2005，ISMS的標準架構自此抵定；國內亦有翻譯中文版，最新版本為CNS 27001:2023及CNS 27002:2023。

ISMS係基於管理資訊安全所制訂以資訊安全作為領域的一套管理系統制度，要求組織在確保營運過程中的CIA—機密性 (Confidentiality)、完整性 (Integrity) 及可用性 (Availability)—為基礎，對組織營運建立 (Establishing)、實作 (Implementing)、運作 (Operating)、監視 (Monitoring)、審查 (Reviewing)、維護 (Maintaining) 及改進 (Improving) 其資訊安全的系統化作法 (Systematic Approach)，也就是組織要由業務營運的角度，仔細審視組織要保護的有價值事物 (包含有形及無形、實體或過程等等)、制訂政策及目標、規劃達成目標的作法 (或過程)、將作法實作為制度、依制度執行、在執行過程中予以監控、審查制度執行的成果、維護整套制度的運作以及依需要對制度做改進等等的活動，ISO 27001對這些活動有其要求，也就是所謂的要求事項 (Requirements)，組織的ISMS必須符合ISO 27001內各項活動的要求事項 (ISO 27001:2022 4.4有明文規定)，並通過第三方符合性評鑑活動，才能正式取得ISMS符合性認證，對外作為ISMS合規的依據。

總而言之，合規只是結果，重點仍然在於組織有沒有確實自己依ISO 27001要求所設計的制度落實執行，進而達到ISO 27001所要達到的目標—保護組織的資訊安全—因此，組織在執行制度的過程中，必須留下足夠的證據，以證明組織確實依照自己所設計的制度執行，而這也是符合性評鑑所要檢視的重點項目。

ISO將整套資訊安全管理領域收納在ISO 27xxx的標準集裡面，ISO 27001僅是一個起點，說明一套ISMS的要求事項；由ISO 27001開始，ISO制訂了許多相關的技術與管理標準，形成ISO 27000家族，如下表所示：

上面雖然列了長長一串ISO 27000家族的所有現行標準，但資訊安全領域並非只有ISO 27000家族而己，還有很多其他的國際標準 (如密碼技術、隱私控制等)，ISO 27000基本上是針對ISMS領域內所制訂的相關規範，接下來的文章中如有必要也會引用相關的標準。