组织要根据组织的业务特征、组织结构、地理位置、资产和技术来对信息安全管理体系范围和边界进行界定。组织ISMS范围包括以下项目：

□  需保护的服务、信息系统、资产、技术；

□  物理场所（地理位置、部门）。