4.2 由请组织的主要业务流程:

4.3 组织机构图或职能表述文件:

5、申请组织的体系文件，需包含但不仅限于(可以合并):

5.1 信息安全管理体系ISMS方针文件:

5.2 风险评估程序:

5.3 适用性声明:

5.4 风险处理程序:

5.5 文件控制程序:

5.6 记录控制程序:

5.7 内部审核程序;

5.8 管理评审程序,

5.9 纠正措施与预防措施程序,

5.10 控制措施有效性的测量程序;

5.11 职能角色分配表;

5.12 整个体系文件结构与清单。