Un SGSI (Sistema de Gestión de la Seguridad de la Información) constituye el sistema de calidad para la seguridad de la información.

Tras la realización de un proceso de análisis de riesgos, la organización define su nivel objetivo de seguridad atendiendo a los requerimientos legales, de negocio, contractuales, así como el riesgo residual que está dispuesta a asumir. A continuación, con el fin de alcanzar el nivel objetivo de seguridad se seleccionan los controles de la ISO 27002 a implantar.