信息安全管理是指導和控制企業(yè)或機構的關于信息安全風險的相互協調的活動，信息安全管理實際上是風險管理的過程，管理的基礎是風險的識別與評估。系統(tǒng)的信息安全管理主要體現以下原則：

★采用目前國際管理界公認的過程方法來建立并實施體系，將活動和相關的資源作為過程進行管理，并系統(tǒng)地識別和管理組織所用的過程，特別是過程之間的相互作用，以改善組織總體的效率和有效性。

★按照美國著名質量管理專家戴明的PDCA持續(xù)改進模式來對信息安全管理體系的諸過程及其相互作用進行管理。

★將國際信息安全界公認的信息安全最佳慣例有序地形成標準，供各類組織在風險識別、風險評價的基礎上進行選擇實施，將風險降至企業(yè)或機構可以接受的水平。

★同時關注組織信息的實物/物理安全與信息系統(tǒng)的安全。

★預防控制為主的思想原則。

★業(yè)務持續(xù)性原則，即從故障中恢復業(yè)務運作，減少故障對關鍵業(yè)務過程的影響。

★動態(tài)管理原則，即對風險實施動態(tài)管理。