经验表明，下列因素通常对组织内部成功实施信息安全体系至关重要：

□ 反映业务目标的信息安全方针、目标和活动；

□ 与组织文化一致的实施安全的方法；

□ 来自管理层的有形的支持和承诺；

□ 对安全要求、风险评估和风险管理的良好理解；

□ 向所有管理者及雇员推行安全意识；

□ 向所有雇员和承包商分发信息安全方针和相关指南；

□ 提供适当的培训和教育；

□ 用于评价信息安全管理绩效及反馈改进建议的综合的平衡测量系统。