Zarządzanie Systemem Bezpieczeństwa Informacji w organizacji wymaga opracowania wielu dokumentów takich jak polityka bezpieczeństwa informacji, Instrukcja zarządzania systemami informatycznymi, itp. Niektóre z tych dokumentów w zależności od wielkości organizacji i stosowanych w niej systemów i narzędzi wspomagających przetwarzanie informacji mogą mieć złożoną wielopoziomową strukturę. Tak np. Polityka bezpieczeństwa organizacji może mieć strukturę wielopoziomową obejmującą bezpieczeństwo organizacji w sensie ogólnym, które obejmuje bezpieczeństwo fizyczne (ochronę mienia i wszelkich innych aktywów), bezpieczeństwo ekonomiczne (ochronę rynków zbytu i zaopatrzenia), bezpieczeństwo aktywów informacyjnych (now how, licencji, stosowanych technologii i wszelkich innych zasobów informacyjnych), bezpieczeństwo danych przetwarzanych w systemach teleinformatycznych w zakresie ogólnym obejmujące bezpieczeństwo sieci teleinformatycznych i bezpieczeństwo użytkowanych systemów teleinformatycznych, a także bezpieczeństwo konkretnych systemów teleinformatycznych, w tym określonych czynności przetwarzania danych.