P1-定义ISMS范围和边界 P2-制定ISMS方针 P3-确定风险评估方法 P4-实施风险评估 P5-选择、评价和确定风险处理方式、处理目标和处理措施 P6-获得管理者对建议的残余风险的批准 P7-获得管理者对实施和运行ISMS的授权 P8-编制适用性声明(SoA)