文件是信息及其承载媒体。

信息安全管理体系文件是按照信息安全管理标准的要求建立信息安全管理框架的依据，它应包括信息安全方针和控制目标、信息安全管理体系的范围、支持ISMS的程序和控制、风险评估方法的描述、风险评估报告、风险处理计划、程序文件、记录和适用性声明。