SO/IEC 27001 is an international standard to manage information security. The standard was originally published jointly by the International Organization for Standardization (ISO) and the International Electrotechnical Commission (IEC) in 2005, revised in 2013, and again most recently in 2022. There are also numerous recognized national variants of the standard. It details requirements for establishing, implementing, maintaining and continually improving an information security management system (ISMS) – the aim of which is to help organizations make the information assets they hold more secure. Organizations that meet the standard's requirements can choose to be certified by an accredited certification body following successful completion of an audit. The effectiveness of the ISO/IEC 27001 certification process and the overall standard has been addressed in a large-scale study conducted in 2020.

How the standard works
Most organizations have a number of information security controls. However, without an information security management system (ISMS), controls tend to be somewhat disorganized and disjointed, having been implemented often as point solutions to specific situations or simply as a matter of convention. Security controls in operation typically address certain aspects of information technology (IT) or data security specifically; leaving non-IT information assets (such as paperwork and proprietary knowledge) less protected on the whole. Moreover, business continuity planning and physical security may be managed quite independently of IT or information security while Human Resources practices may make little reference to the need to define and assign information security roles and responsibilities throughout the organization.

ISO/IEC 27001 requires that management:

Systematically examine the organization's information security risks, taking account of the threats, vulnerabilities, and impacts;
Design and implement a coherent and comprehensive suite of information security controls and/or other forms of risk treatment (such as risk avoidance or risk transfer) to address those risks that are deemed unacceptable; and
Adopt an overarching management process to ensure that the information security controls continue to meet the organization's information security needs on an ongoing basis.
What controls will be tested as part of certification to ISO/IEC 27001 is dependent on the certification auditor. This can include any controls that the organisation has deemed to be within the scope of the ISMS and this testing can be to any depth or extent as assessed by the auditor as needed to test that the control has been implemented and is operating effectively.

Management determines the scope of the ISMS for certification purposes and may limit it to, say, a single business unit or location. The ISO/IEC 27001 certificate does not necessarily mean the remainder of the organization, outside the scoped area, has an adequate approach to information security management.

Other standards in the ISO/IEC 27000 family of standards provide additional guidance on certain aspects of designing, implementing and operating an ISMS, for example on information security risk management (ISO/IEC 27005).

History of ISO/IEC 27001
BS 7799 was a standard originally published by BSI Group in 1995. It was written by the UK government's Department of Trade and Industry (DTI) and consisted of several parts.

The first part, containing the best practices for information security management, was revised in 1998; after a lengthy discussion in the worldwide standards bodies, it was eventually adopted by ISO as ISO/IEC 17799, "Information Technology - Code of practice for information security management." in 2000. ISO/IEC 17799 was then revised in June 2005 and finally incorporated in the ISO 27000 series of standards as ISO/IEC 27002 in July 2007.

The second part of BS7799 was first published by BSI in 1999, known as BS 7799 Part 2, titled "Information Security Management Systems - Specification with guidance for use." BS 7799-2 focused on how to implement an Information security management system (ISMS), referring to the information security management structure and controls identified in BS 7799-2. This later became ISO/IEC 27001:2005. BS 7799 Part 2 was adopted by ISO as ISO/IEC 27001 in November 2005.

BS 7799 Part 3 was published in 2005, covering risk analysis and management. It aligns with ISO/IEC 27001:2005.

Very little reference or use is made to any of the BS standards in connection with ISO/IEC 27001.

Certification
An ISMS may be certified compliant with the ISO/IEC 27001 standard by a number of Accredited Registrars worldwide. Certification against any of the recognized national variants of ISO/IEC 27001 (e.g. JIS Q 27001, the Japanese version) by an accredited certification body is functionally equivalent to certification against ISO/IEC 27001 itself.

In some countries, the bodies that verify conformity of management systems to specified standards are called "certification bodies", while in others they are commonly referred to as "registration bodies", "assessment and registration bodies", "certification/ registration bodies", and sometimes "registrars".

The ISO/IEC 27001 certification, like other ISO management system certifications, usually involves a three-stage external audit process defined by ISO/IEC 17021 and ISO/IEC 27006 standards:

Stage 1 is a preliminary, informal review of the ISMS. For example there are checks for the existence and completeness of key documentation, such as the organization's information security policy, Statement of Applicability (SoA), and Risk Treatment Plan (RTP). This stage serves to familiarize the auditors with the organization and vice versa.
Stage 2 is a more detailed and formal compliance audit, independently testing the ISMS against the requirements specified in ISO/IEC 27001. The auditors will seek evidence to confirm that the management system has been properly designed and implemented, and is in fact in operation (for example by confirming that a security committee or similar management body meets regularly to oversee the ISMS). Certification audits are usually conducted by ISO/IEC 27001 Lead Auditors. Passing this stage results in the ISMS being certified compliant with ISO/IEC 27001.
Ongoing involves follow-up reviews or audits to confirm that the organization remains in compliance with the standard. Certification maintenance requires periodic re-assessment audits to confirm that the ISMS continues to operate as specified and intended. These should happen at least annually but (by agreement with management) are often conducted more frequently, particularly while the ISMS is still maturing.
SO/IEC 27001은 정보 보안 관리를 위한 국제 표준입니다. 이 표준은 2005년 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동으로 발표했으며, 2013년에 개정되었고, 가장 최근에는 2022년에 다시 개정되었습니다. 또한 이 표준의 국가별 변형도 다수 존재합니다. 이 표준은 조직이 보유한 정보 자산의 보안을 강화하기 위해 정보 보안 관리 시스템(ISMS)을 수립, 구현, 유지 관리 및 지속적으로 개선하기 위한 요구 사항을 자세히 설명합니다. 표준의 요구 사항을 충족하는 조직은 감사를 성공적으로 완료한 후 공인 인증 기관의 인증을 받을 수 있습니다. ISO/IEC 27001 인증 프로세스와 전반적인 표준의 효과성은 2020년에 수행된 대규모 연구에서 다루어졌습니다.

표준 작동 방식
대부분의 조직에는 여러 가지 정보 보안 통제 장치가 있습니다. 그러나 정보 보안 관리 시스템(ISMS)이 없는 경우, 통제는 특정 상황에 대한 임시방편으로 또는 단순히 관행에 따라 시행되는 경우가 많아 다소 체계적이지 않고 일관성이 없는 경향이 있습니다. 운영 중인 보안 제어는 일반적으로 정보 기술(IT) 또는 데이터 보안의 특정 측면만을 다루기 때문에 비IT 정보 자산(예: 문서 작업 및 독점 지식)은 전반적으로 보호되지 않습니다. 또한 비즈니스 연속성 계획과 물리적 보안은 IT 또는 정보 보안과 독립적으로 관리되는 반면, 인사 관행에서는 조직 전체에서 정보 보안 역할과 책임을 정의하고 할당할 필요성에 대해 거의 언급하지 않을 수 있습니다.

ISO/IEC 27001은 이러한 관리를 요구합니다:

위협, 취약성, 영향을 고려하여 조직의 정보 보안 위험을 체계적으로 검토합니다;
허용할 수 없다고 판단되는 위험을 해결하기 위해 일관되고 포괄적인 정보 보안 제어 및/또는 기타 형태의 위험 처리(예: 위험 회피 또는 위험 이전)를 설계 및 구현합니다.
정보 보안 제어가 조직의 정보 보안 요구 사항을 지속적으로 충족할 수 있도록 중요한 관리 프로세스를 채택합니다.
ISO/IEC 27001 인증의 일부로 어떤 통제를 테스트할 것인지는 인증 심사원에 따라 달라집니다. 여기에는 조직이 ISMS의 범위 내에 있다고 간주한 모든 통제가 포함될 수 있으며, 이 테스트는 통제가 구현되고 효과적으로 운영되는지 테스트하는 데 필요한 심사원의 평가에 따라 깊이 또는 범위가 결정될 수 있습니다.

경영진은 인증 목적에 따라 ISMS의 범위를 결정하며, 예를 들어 단일 사업부 또는 위치로 범위를 제한할 수 있습니다. ISO/IEC 27001 인증이 반드시 해당 범위 밖의 나머지 조직이 정보 보안 관리에 대한 적절한 접근 방식을 갖추고 있다는 것을 의미하지는 않습니다.

ISO/IEC 27000 표준 제품군의 다른 표준은 정보 보안 위험 관리(ISO/IEC 27005)와 같이 ISMS의 설계, 구현 및 운영의 특정 측면에 대한 추가 지침을 제공합니다.

ISO/IEC 27001의 역사
BS 7799는 1995년 BSI 그룹에서 처음 발표한 표준입니다. 영국 정부 무역산업부(DTI)에서 작성했으며 여러 부분으로 구성되었습니다.

정보 보안 관리를 위한 모범 사례를 담은 첫 번째 부분은 1998년에 개정되었으며, 전 세계 표준화 기구에서 오랜 논의 끝에 2000년에 ISO에서 "정보 기술 - 정보 보안 관리를 위한 실천 규범"인 ISO/IEC 17799로 채택되었습니다. 이후 2005년 6월에 ISO/IEC 17799가 개정되었고, 2007년 7월에 ISO/IEC 27002로 ISO 27000 시리즈 표준에 최종 통합되었습니다.

BS7799의 두 번째 부분은 1999년에 BSI에서 "정보 보안 관리 시스템 - 사용 지침이 포함된 사양"이라는 제목의 BS 7799 파트 2로 처음 발표되었습니다. BS 7799-2는 BS 7799-2에서 식별된 정보 보안 관리 구조 및 제어를 참조하여 정보 보안 관리 시스템(ISMS)을 구현하는 방법에 중점을 두었습니다. 이는 나중에 ISO/IEC 27001:2005가 되었습니다. BS 7799 파트 2는 2005년 11월 ISO에 의해 ISO/IEC 27001로 채택되었습니다.

위험 분석 및 관리를 다루는 BS 7799 파트 3은 2005년에 발표되었습니다. 이는 ISO/IEC 27001:2005와 일치합니다.

ISO/IEC 27001과 관련하여 BS 표준을 참조하거나 사용하는 경우는 거의 없습니다.

인증
ISMS는 전 세계 여러 공인 등록 기관으로부터 ISO/IEC 27001 표준을 준수하는 것으로 인증받을 수 있습니다. 공인 인증 기관에 의한 ISO/IEC 27001의 인정된 국가별 변형(예: 일본 버전인 JIS Q 27001)에 대한 인증은 ISO/IEC 27001 자체에 대한 인증과 기능적으로 동등합니다.

일부 국가에서는 경영 시스템의 특정 표준 적합성을 검증하는 기관을 "인증 기관"이라고 부르며, 다른 국가에서는 일반적으로 "등록 기관", "평가 및 등록 기관", "인증/등록 기관", 때로는 "등록 기관"이라고 부릅니다.

ISO/IEC 27001 인증은 다른 ISO 경영 시스템 인증과 마찬가지로 일반적으로 ISO/IEC 17021 및 ISO/IEC 27006 표준에 정의된 3단계 외부 감사 프로세스를 포함합니다:

1단계는 ISMS에 대한 예비적이고 비공식적인 검토입니다. 예를 들어 조직의 정보 보안 정책, 적용 가능성 설명서(SoA), 위험 처리 계획(RTP)과 같은 주요 문서의 존재 여부와 완전성을 확인합니다. 이 단계는 감사인이 조직에 익숙해지도록 하는 역할을 하며, 그 반대의 경우도 마찬가지입니다.
2단계는 보다 상세하고 공식적인 규정 준수 감사로, ISO/IEC 27001에 명시된 요구사항에 대해 ISMS를 독립적으로 테스트합니다. 심사원은 관리 시스템이 적절하게 설계 및 구현되었으며 실제로 운영되고 있음을 확인할 수 있는 증거를 찾습니다(예: 보안 위원회 또는 이와 유사한 관리 기관이 정기적으로 회의를 통해 ISMS를 감독하는지 확인). 인증 심사는 일반적으로 ISO/IEC 27001 선임 심사원이 수행합니다. 이 단계를 통과하면 ISMS가 ISO/IEC 27001을 준수하는 것으로 인증받게 됩니다.
인증 유지에는 조직이 표준을 계속 준수하고 있는지 확인하기 위한 후속 검토 또는 감사가 포함됩니다. 인증 유지를 위해서는 주기적인 재평가 감사를 통해 ISMS가 지정 및 의도한 대로 계속 운영되고 있는지 확인해야 합니다. 재평가 심사는 최소 1년에 한 번씩 실시해야 하지만 경영진과의 합의에 따라 더 자주 실시하는 경우가 많으며, 특히 ISMS가 성숙하는 동안에는 더 자주 실시하기도 합니다.