قدم ملخص موجز لكيفية عمل معيار ISO 27001
Context:معظم المنظمات لديها عدد من ضوابط أمن المعلومات. ومع ذلك، من دون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط إلى أن تكون غير منظمة وغير مترابطة إلى حد ما، حيث تم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. عادة ما تتعامل الضوابط الأمنية في التشغيل مع جوانب معينة من تكنولوجيا المعلومات أو أمن البيانات على وجه التحديد؛ مما يترك أصول المعلومات غير تكنولوجية المعلومات (مثل الأوراق والمعرفة الملكية) أقل حماية بشكل عام. علاوة على ذلك، يمكن إدارة تخطيط استمرارية الأعمال والأمن المادي بشكل مستقل تماما عن تكنولوجيا المعلومات أو أمن المعلومات بينما قد لا تشير ممارسات الموارد البشرية إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  المعيار ISO/IEC 27001 يطلب من الإدارة:  فحص بشكل منهجي مخاطر أمن المعلومات في المنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات؛ تصميم و تنفيذ مجموعة متماسكة وشاملة من الضوابط على أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) للتعامل مع المخاطر التي تعتبر غير مقبولة، و تبني عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. ويعتمد على مدقق الشهادات على أنواع الضوابط التي سيتم اختبارها كجزء من الشهادة وفقًا لمعيار ISO/IEC 27001. ويمكن لهاد الشي يشتمل على أية ضوابط اعتبرتها المنظمة ضمن نطاق إدارة إدارة الشبكات الإلكترونية، ويمكن لهذا الاختبار أن يكون على أي عمق أو مدى يقيّمه المدقق حسب الحاجة ليتم اختبار ما إذا كانت الضوابط تم تنفيذها وتعمل بفعالية.  الادارة تقرر نطاق ISMS لأغراض الشهادة ويمكن أن تحد من، على سبيل المثال، وحدة تجارية واحدة أو موقع. لا تعني شهادة ISO/IEC 27001 بالضرورة أن بقية المنظمة، خارج المنطقة المشمولة، تمتلك نهجا كافيا لإدارة أمن المعلومات.  ومعايير أخرى في عائلة المعايير ISO/IEC 27000 تقدم توجيهات إضافية حول جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).
ويعمل المعيار إيزو 27001 عن طريق المطالبة بإدارة نظام إدارة أمن المعلومات لفحص المخاطر الأمنية، وتنفيذ مجموعة شاملة من الضوابط الأمنية لإدارة المخاطر المحددة، وتشغيل العمليات الجارية لقياس فعالية الرقابة ومستويات المخاطر.