Organisasi harus menetapkan, menerapkan, memelihara, dan meningkatkan Sistem Manajemen Keamanan Informasi (SMKI) secara berkelanjutan sesuai dengan persyaratan ISO/IEC 27001.
Subklausul ini bertujuan untuk memastikan bahwa perusahaan menetapkan, menerapkan, memelihara, dan melakukan peningkatan berkelanjutan terhadap Sistem Manajemen Keamanan Informasi sesuai dengan persyaratan ISO 27001:2022.
Hal ini mencakup penetapan proses-proses yang diperlukan agar sistem dapat berjalan secara efektif, seperti proses penilaian dan penanganan risiko, pemantauan kinerja, audit internal, tinjauan manajemen, dan proses lain yang dipersyaratkan ISO 27001:2022.