ادي ملخص موجز لكيفية عمل معيار ISO 27001
Context:معظم المنظمات عندها عدد من ضوابط أمن المعلومات. ومع ذلك، بدون نظام إدارة أمن المعلومات (ISMS) ، تميل الرقابة لتكون غير منظمة وغير مترابطة إلى حد ما، وقد تم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. ضوابط الامن في التشغيل عادة ما تعالج جوانب معينة من تكنولوجيا المعلومات او امن البيانات تحديداً، تاركة أصول المعلومات غير تكنولوجيا المعلومات (مثل الوثائق والمعرفة الملكية) اقل حماية بشكل عام. علاوة على ذلك، تخطيط استمرارية العمل والأمن المادي يمكن إدارته بشكل مستقل تماماً عن تكنولوجيا المعلومات أو أمن المعلومات بينما ممارسات الموارد البشرية قد لا تشير إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  ISO/IEC 27001 يطلب ان الادارة:  يدرس بشكل منهجي مخاطر أمن المعلومات في المنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات. تصميم وتطبيق مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة؛ و تبني عملية اداري شاملة لضمان ان ضوابط امن المعلومات تستمر في تلبية احتياجات الامن المعلوماتي للمنظمة على اساس مستمر. ايش من ضوابط سيتم اختبارها كجزء من الاعتماد على ISO/IEC 27001 يعتمد على مدقق الاعتماد. هذا يمكن ان يتضمن اي ضوابط اعتبرتها المنظمة ان تكون ضمن نطاق ISMS ويمكن ان يكون هذا الاختبار في اي عمق او مدى حسب تقييم المدقق حسب الحاجة لاختبار ان الضوابط تم تنفيذها وتعمل بفعالية.  الإدارة تحدد نطاق ISMS لأغراض التصديق ويمكن أن تحد منه، على سبيل المثال، لوحدة تجارية واحدة أو موقع. شهادة ISO/IEC 27001 لا تعني بالضرورة ان بقية المنظمة، خارج المنطقة المشمولة، لديها نهج مناسب لإدارة أمن المعلومات.  هناك معايير اخرى في عائلة المعايير ISO/IEC 27000 توفر توجيهات اضافية حول بعض جوانب تصميم وتنفيذ وتشغيل نظام نظم نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).
المعيار ايزو 27001 يعمل عن طريق مطالبة ادارة نظام ادارة امن المعلومات بفحص مخاطر الامن، وتنفيذ مجموعة شاملة من ضوابط الامن لإدارة المخاطر المحددة، وتشغيل عمليات مستمرة لقياس فعالية الضوابط ومستويات المخاطر.