6.2信息安全目標及其實現規劃

組織應在相關職能和層級上建立信息安全目標。

信息安全目標應：

a)與信息安全方針一致；

b)可測量(如可行)；

c)考慮適用的信息安全要求，以及風險評估和風險處置的結果；

d)得到溝通；

e)適當時更新。

組織應保留有關信息安全目標的文件化信息。

在規劃如何達到信息安全目標時，組織應確定：

f)要做什么；

g)需要什么資源；

h)由誰負責；

i)什么時候完成；

j)如何評價結果。