信息安全管理体系的核心要素主要包括风险管理、法律合规和技术防护，而用户教育虽然重要，但不属于体系的核心构成要素。