اعطي خلاصة موجزة عن كيفية عمل معيار ايزو 27001
Context:معظم المنظمات عنده عدد من ضوابط امنية المعلومات. لكن بدون نظام ادارة امن المعلومات (ISMS) ، تميل الضوابط الى ان تكون غير منظمة وغير مترابطة الى حد ما، بعد ان تم تنفيذها غالبا كحلول نقطية لحالات محددة او ببساطة كمسألة اتفاقية. الضوابط الامنية في التشغيل عادةً تتعامل مع جوانب معينة من تكنولوجيا المعلومات او امن البيانات تحديداً. تترك أصول المعلومات غير تكنولوجيا المعلومات (مثل الوثائق والمعرفة المملوكة) اقل حماية بشكل عام. علاوة على ذلك، التخطيط لاستمرارية العمل والأمن المادي يمكن ان يدار بشكل مستقل تماماً عن تكنولوجيا المعلومات او أمن المعلومات بينما ممارسات الموارد البشرية يمكن ان تشير قليلاً إلى الحاجة لتعريف وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  ISO/IEC 27001 يطلب ان الادارة:  فحص منظم للمخاطر الامنية للمعلومات بالمنظمة مع مراعاة التهديدات والضعف والتأثيرات صممت وتنفيذ مجموعة متماسكة وشاملة من ضوابط امن المعلومات و/أو اشكال اخرى من معالجة المخاطر (مثل تجنب المخاطر او نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة، و اعملي عملية ادارة شاملة لضمان ان ضوابط امن المعلومات تواصل تلبية احتياجات امن المعلومات للمنظمة على اساس مستمر. ايش من ضوابط سيتم اختبارها كجزء من الاعتماد على ISO/IEC 27001 يعتمد على مدقق الاعتماد. هذا يمكن ان يتضمن اي ضوابط اعتبرتها المنظمة ان تكون ضمن نطاق ISMS ويمكن ان يكون هذا الاختبار في اي عمق او مدى حسب تقييم المدقق حسب الحاجة لاختبار ان الضبط تم تنفيذه ويعمل بفعالية.  الإدارة تحدد نطاق ISMS لأغراض الاعتماد ويمكن تحديده على سبيل المثال لوحدة تجارية او موقع واحد. شهادة ISO/IEC 27001 لا تعني بالضرورة ان بقية المنظمة، خارج المنطقة المشمولة، لديها نهج كاف لإدارة أمن المعلومات.  معايير اخرى في عائلة المعايير ISO/IEC 27000 توفر توجيهات اضافية على جوانب معينة من تصميم وتنفيذ وتشغيل نظام ISMS، مثلًا على إدارة مخاطر أمن المعلومات (ISO/IEC 27005).
معيار ايزو 27001 بيعمل عن طريق طلب إدارة نظام إدارة أمن المعلومات لفحص مخاطر الأمن، وتنفيذ مجموعة شاملة من ضوابط الأمن لإدارة المخاطر المحددة، وتشغيل العمليات المستمرة لقياس فعالية التحكم ومستويات المخاطر.