標準可作為組織基于ISO/IEC 27001實施信息安全管理體系（ISMS）的過程中選擇控制措施時的參考，或作為組織實施通用信息安全控制措施時的指南文件。本標準還可以用于開發行業和組織特定的信息安全管理指南，考慮其特定信息安全風險環境