Vyžaduje, aby organizace definovala rozsah ISMS, pochopila relevantní kontext a požadavky zainteresovaných stran, posoudila a ošetřila rizika bezpečnosti informací, přiřadila vedení a zdroje, provozovala kontroly, hodnotila výkon, opravovala nekonformity a zlepšovala systém řízení.
Současná edice je ISO/IEC 27001:2022, s dodatkem Amendment 1:2024 o změnách klimatické akce. Annex A dodává referenční sadu kontrol pro srovnání během ošetření rizik; organizace dokumentuje nezbytné kontroly, jejich stav implementace a zdůvodnění zahrnutí či vyloučení ve svém Prohlášení o použitelnosti.
Klíčové body
Ohraničte systémDefinujte organizační hranice, aktivity, informace, technologie, lokace, rozhraní a závislosti pokryté ISMS a učiňte vyloučení či rozhraní jasnými.
Řiďte rizikoZaveďte opakovatelná kritéria, posuzujte rizika, vybírejte ošetření a kontrolní cíle, přiřazujte vlastníky, přijímejte reziduální riziko příslušnou autoritou a monitorujte změny.
Hodnoťte assurancePoužívejte interní audity, přezkum vedením, cíle, měření, nápravné akce a kompetentní nezávislou certifikaci tam, kde certifikace slouží podnikové či smluvní potřebě.
Důležité omezeníImplementace či certifikace nedokazuje, že každý systém je bezpečný, každá kontrola účinná či každá právní povinnost splněná. Certifikát pokrývá svou uvedenou organizaci, rozsah ISMS, edici standardu a dobu platnosti; ISO organizace neaudituje ani nevydává certifikáty.