情報セキュリティマネジメントにおける管理策の国際標準規格であるISO/IEC 27001／27002（JIS Q 27001／27002）を基に、組織体が効果的な情報セキュリティマネジメント体制を構築し、適切なコントロール（管理策）を整備・運用するための実践的な規範として、情報セキュリティに関するコントロールの目的、コントロールの項目を規定したもの。情報セキュリティ監査において、監査人の判断の尺度となる基準である。
全体で132のコントロール（管理策）及びそれを詳細化した952のサブコントロールから構成されている。