ISMSを設計する前に、顧客や規制当局などが何を求めているかを把握します。要求や適用範囲が不明なままでは、どの情報やリスクを重視するか決められません。
その後でリスクを評価し、対応を選んで運用し、内部監査で有効性を確かめます。選択肢の中では、利害関係者のニーズと期待の理解が最初の土台になります。