簡要介紹ISO 27001標準的工作原理
大多陣列織都有一些資訊保安控制措施。然而，如果沒有資訊保安管理系統（ISMS），這些控制措施往往會有些雜亂無章，實施時往往是作為特定情況的點解決方案或僅僅是慣例。操作中的安全控制通常專門解決資訊科技（IT）或資料安全的某些方面，而非IT資訊資產（如檔案和專有知識）整體上受到的保護較少。此外，業務連續性規劃和物理安全可能會被獨立於IT或資訊保安進行管理，而人力資源實踐可能很少提到需要在整個組織中定義和分配資訊保安角色和責任的需要。

ISO/IEC 27001要求管理層：

系統地審查組織的資訊保安風險，考慮威脅、漏洞和影響；
設計和實施一套連貫和全面的資訊保安控制措施和/或其他形式的風險處理（如風險避免或風險轉移），以解決那些被認為是不可接受的風險；並
採用一個總體管理過程，以確保資訊保安控制措施在持續滿足組織的資訊保安需求。

ISO/IEC 27001認證的控制措施取決於認證審計員。這可以包括組織認為在ISMS範圍內的任何控制措施，這種測試可以根據審計員的評估需要進行任何深度或範圍的測試，以測試控制措施是否已經實施並有效執行。

管理確定ISMS的範圍以進行認證，並可能將其限制為單個業務單位或位置。ISO/IEC 27001證書並不一定意味著範圍之外的組織在資訊保安管理方面具有足夠的方法。

ISO/IEC 27000系列標準中的其他標準提供了有關設計、實施和執行ISMS的某些方面的額外指導，例如有關資訊保安風險管理的標準（ISO/IEC 27005）。
ISO 27001 標準要求資訊保安管理系統的管理層檢查安全風險，實施一套全面的安全控制措施來管理已識別的風險，並執行持續的流程來衡量控制有效性和風險級別。