ISO 27001規格の仕組みについて、簡単にまとめておく。
多くの組織では、情報セキュリティ管理体制を構築しているのだ。しかし、情報セキュリティマネジメントシステム（ISMS）を導入していない場合、特定の状況に対するポイントソリューションとして、あるいは単に慣習として導入されていることが多く、統制はやや無秩序でバラバラになっている傾向があるのだ。また、セキュリティ管理は、情報技術（IT）やデータセキュリティの特定の側面に特化して行われることが多く、IT以外の情報資産（書類や独自の知識など）は全体としてあまり保護されていない。さらに、事業継続計画や物理的なセキュリティは、ITや情報セキュリティとはまったく無関係に管理されている場合があり、人事業務では、組織全体で情報セキュリティの役割と責任を定義して割り当てる必要性についてほとんど言及されていない場合があるのだ。

ISO/IEC 27001では、マネジメントが求められています：

脅威、脆弱性、影響を考慮し、組織の情報セキュリティリスクを体系的に検討する；
受容できないと判断されたリスクに対処するために、一貫性のある包括的な情報セキュリティ管理策及び／又は他の形態のリスク処理（リスク回避やリスク移転など）を設計し、実施する。
情報セキュリティ管理策が継続的に組織の情報セキュリティのニーズを満たし続けることを保証するために、包括的な管理プロセスを採用する。
ISO/IEC 27001の認証の一部として、どのような管理策がテストされるかは、認証審査員によります。このテストには、組織がISMSの範囲内と判断したあらゆる統制を含めることができ、このテストは、統制が実施され、効果的に動作していることをテストするために必要であると監査人が評価する任意の深さや範囲にすることができるのだ。

経営陣は、認証取得のためにISMSの範囲を決定し、例えば、単一の事業単位または拠点に限定することができる。ISO/IEC 27001の認証は、スコープされた領域以外の組織の残りの部分が、情報セキュリティ管理に対して適切なアプローチをとっていることを必ずしも意味するものではありません。

ISO/IEC 27000ファミリーの他の規格は、情報セキュリティリスク管理（ISO/IEC 27005）など、ISMSの設計、実施、運用の特定の側面に関する追加ガイダンスを提供しているのだ。
ISO 27001は、情報セキュリティマネジメントシステムの管理者が、セキュリティリスクを検討し、特定されたリスクを管理するための包括的な一連のセキュリティ管理を実施し、管理の有効性とリスクレベルを測定する継続的なプロセスを運用することを要求することで機能するのだ。