5.1.3 標準的附錄部分

附錄A列出許多詳細的控制目標和控制措施，可供組織進行信息資產風險處理時選擇使用。這些可供選用的控制措施也稱為控制要求( control requirements)。組織在建立ISMS時，要選擇“附錄A”所列的控制目標和控制措施。附錄A屬于規范性的附錄，是IS()/IEC 27001: 2005標準要求組織要使用的附錄。附錄A的符合性審核也十分重要。這將在第6章“控制目標和控制措施的符合性審核”再詳細介紹。

附錄B和附錄C展示IS()/IEC 27001: 2005標準與其他相關標準（或指南）之間的對應關系。其內容十分簡單，易讀、易理解，讀者只要花很少時間閱讀后，就會明白和了解到相關信息。由于這兩個附錄只起著提供信息的作用，屬于信息性附錄，不是標準的要求，與審核沒有多大的關系。