建设信息安全管理体系对企业会有收益吗？

有。

识别信息安全管理体系控制范围内的信息资产;识别对这些资产的威胁;识别可能被威胁利用的薄弱点;识别保密性、完整性和可用性丢失对这些资产的潜在影响。

根据资产保密性、完整性或可用性丢失的潜在影响，评估由于安全失败(failure)可能引起的商业影响;根据与资产相关的主要威胁、薄弱点及其影响，以及目前实施的控制，评估此类失败发生的现实可能性;根据既定的风险等级准则，确定风险等级。

对于所识别的信息安全风险，组织需要加以分析，区别对待。如果风险满足组织的风险接受方针和准则，那么就有意的、客观的接受风险;对于不可接受的风险组织可以考虑避免风险或者将转移风险;对于不可避免也不可转移的风险应该采取适当的安全控制，将其降低到可接受的水平。