(ISMS (Information Secure Management System یا سیستم مدیریت امنیت اطلاعات اولين بار طي مراحل تحرير وتوسعه استاندارد بريتانيايي 7799 در سال‌هاي انتهايي دهه 1980 ميلادي مورد بحث و توجه قرار گرفت. آخرين تعريف «سيستم مديريت امنيت اطلاعات» از نظر استاندارد بين المللي آن عبارت است از :

«سيستم مديريت امنيت اطلاعات بخشي از سيستم مديريت کلي و سراسري در يک سازمان است که برپايه رويکرد مخاطرات کسب و کار (Business Risk Approach) قرار داشته و هدف آن، پايه ‌گذاري، پياده ‌سازي ، بهره ‌برداري، نظارت، بازبيني، نگهداري و بهبود امنيت اطلاعات است.»

«سيستم مديريت امنيت اطلاعات» براي حصول اطمينان از کفايت و تناسب کنترل‌هاي امنيتي محافظ  دارايي‌هاي اطلاعاتي طراحي شده‌است تا به اين وسيله به مشتريان و ديگر گروه‌هاي ذي‌نفع درباره امنيت اطلاعات موجود در سازمان اطمينان خاطرداده‌شود.

با ارائه اولين استاندارد مديريت امنيت اطلاعات در سال 1995 ، نگرش سيستماتيك به مقوله ايمن سازي فضاي تبادل اطلاعات شكل گرفت . بر اساس اين نگرش، تامين امنيت فضاي تبادل اطلاعات سازمانها، دفعتا مقدور نمي باشد و لازم است اين امر بصورت مداوم در يك چرخه ايمن سازي شامل مراحل طراحي، پياده سازي، ارزيابي و اصلاح، انجام گيرد . براي اين منظور لازم است هر سازمان بر اساس يك متدولوژي مشخص، اقدامات زير را انجام دهد:

-1  تهيه طرح ها و برنامه هاي امنيتي موردنياز سازمان

-2  ايجاد تشكيلات موردنياز جهت ايجاد و تداوم امنيت فضاي تبادل اطلاعات سازمان

-3  اجراي طرح ها و برنامه هاي امنيتي سازمان

برای امنیت اطلاعات سه اصل مهم را باید در نظر گرفت که عبارتند از :

محرمانگی : اطمينان از اينکه اطلاعات فقط در دسترس افراد مجاز قرار دارد

صحت : تامين صحت ، دقت و کامل بودن اطلاعات و روش‌های پردازش آنها

دسترس پذيری : اطمينان از اينکه کاربران مجاز در صورت نياز به اطلاعات و دارائی‌های مربوطه به آنها دسترسی دارند .