A é um código de práticas com um conjunto completo de controles que auxiliam aplicação do Sistema de Gestão da Segurança da Informação.
B fornece um conjunto de Controles baseados em melhores práticas para a Segurança da Informação.
C não deve ser utilizada em auditorias mas simplesmente servir como um guia
D aumenta o risco de responsabilidade pela não implementação ou determinação de políticas e procedimentos.
E é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI).