信息安全管理体系（ISMS）应从组织的整体业务战略层面开始，考虑信息安全如何支持业务目标的实现。