培训工作要分层次、分阶段、循序渐进的进行，而且必须是全员培训。分层次培训是指对不同层次的人员开展有针对性的培训，这包括对管理层（包括决策层）、审核人员及操作执行人员的培训，而且培训的内容也各有侧重；分阶段是指在信息安全管理体系的建立、实施与保持的不同阶段，培训工作要有计划地安排实施，如在体系建立初期对管理层的宣贯培训、在风险评估前对评估人员所进行的风险评估方法的培训等；培训可以采用外部与内部相结合的方式进行。