Human: 대부분의 조직에는 여러 가지 정보 보안 제어 장치가 있습니다. 그러나 정보 보안 관리 시스템(ISMS)이 없는 경우, 통제는 특정 상황에 대한 임시방편으로 또는 단순히 관행에 따라 구현되는 경우가 많아 다소 체계적이지 않고 일관성이 없는 경향이 있습니다. 운영 중인 보안 제어는 일반적으로 정보 기술(IT) 또는 데이터 보안의 특정 측면만을 다루기 때문에 비IT 정보 자산(예: 문서 작업 및 독점 지식)은 전반적으로 보호되지 않습니다. 또한 비즈니스 연속성 계획과 물리적 보안은 IT 또는 정보 보안과 독립적으로 관리되는 반면, 인사 관행에서는 조직 전체에서 정보 보안 역할과 책임을 정의하고 할당할 필요성에 대해 거의 언급하지 않을 수 있습니다.

ISO/IEC 27001은 이러한 관리를 요구합니다:

위협, 취약성, 영향을 고려하여 조직의 정보 보안 위험을 체계적으로 조사합니다;
허용할 수 없다고 판단되는 위험을 해결하기 위해 일관되고 포괄적인 정보 보안 제어 및/또는 기타 형태의 위험 처리(예: 위험 회피 또는 위험 이전)를 설계 및 구현합니다.
정보 보안 제어가 조직의 정보 보안 요구 사항을 지속적으로 충족할 수 있도록 중요한 관리 프로세스를 채택합니다.
ISO/IEC 27001 인증의 일부로 어떤 통제를 테스트할 것인지는 인증 심사원에 따라 달라집니다. 여기에는 조직이 ISMS의 범위 내에 있다고 간주한 모든 통제가 포함될 수 있으며, 이 테스트는 통제가 구현되고 효과적으로 운영되는지 테스트하는 데 필요한 심사원의 평가에 따라 깊이 또는 범위로 진행될 수 있습니다.

경영진은 인증 목적에 따라 ISMS의 범위를 결정하며, 예를 들어 단일 사업부 또는 위치로 범위를 제한할 수 있습니다. ISO/IEC 27001 인증이 반드시 해당 범위 밖의 나머지 조직이 정보 보안 관리에 대한 적절한 접근 방식을 갖추고 있다는 것을 의미하지는 않습니다.

ISO/IEC 27000 표준 제품군의 다른 표준은 정보 보안 위험 관리(ISO/IEC 27005)와 같이 ISMS의 설계, 구현 및 운영의 특정 측면에 대한 추가 지침을 제공합니다. 
ISO 27001 표준의 작동 방식에 대한 간략한 요약 제공 

Assistant: ISO 27001 표준은 정보 보안 관리 시스템의 경영진이 보안 위험을 조사하고, 식별된 위험을 관리하기 위해 포괄적인 보안 제어를 구현하며, 제어 효과와 위험 수준을 측정하기 위한 지속적인 프로세스를 운영하도록 요구하는 방식으로 작동합니다.</s>