Wymaga od organizacji zdefiniowania zakresu ISMS, zrozumienia istotnego kontekstu i wymagań stron zainteresowanych, oceny i traktowania ryzyka bezpieczeństwa informacji, przypisania przywództwa i zasobów, operowania kontrolami, oceny wyników, korygowania niezgodności i doskonalenia systemu zarządzania.
Aktualna edycja to ISO/IEC 27001:2022, z Amendment 1:2024 dotyczącym zmian działań klimatycznych. Załącznik A dostarcza referencyjny zbiór kontroli do porównania podczas traktowania ryzyka; organizacja dokumentuje niezbędne kontrole, ich status wdrożenia i uzasadnienie włączenia lub wykluczenia w Deklaracji Stosowalności.
Najważniejsze punkty
Określ zakres systemuZdefiniuj granice organizacyjne, działania, informacje, technologie, lokalizacje, interfejsy i zależności objęte ISMS oraz ujasnij wykluczenia lub interfejsy.
Zarządzaj ryzykiemUstal powtarzalne kryteria, oceniaj ryzyka, wybieraj traktowania i cele kontroli, przypisuj właścicieli, akceptuj ryzyko resztkowe przez odpowiedni autorytet i monitoruj zmiany.
Oceniaj zapewnienieUżywaj audytów wewnętrznych, przeglądu zarządzania, celów, pomiarów, działań korygujących i kompetentnej niezależnej certyfikacji tam, gdzie certyfikacja służy potrzebie biznesowej lub umownej.
Istotne ograniczenieWdrożenie ani certyfikacja nie dowodzi, że każdy system jest bezpieczny, każda kontrola skuteczna ani każde zobowiązanie prawne spełnione. Certyfikat obejmuje swoją określoną organizację, zakres ISMS, edycję standardu i okres ważności; ISO nie audytuje organizacji ani nie wydaje certyfikatów.