Cere unei organizații să definească domeniul ISMS, să înțeleagă contextul relevant și cerințele părților interesate, să evalueze și să trateze riscul de securitate a informațiilor, să atribuie conducere și resurse, să opereze controale, să evalueze performanța, să corecteze neconformitățile și să îmbunătățească sistemul de management.
Ediția curentă este ISO/IEC 27001:2022, cu Amendamentul 1:2024 privind modificările legate de acțiunea climatică. Anexa A furnizează un set de controale de referință pentru comparație în timpul tratării riscurilor; organizația documentează controalele necesare, starea lor de implementare și raționamentul de includere sau excludere în Declarația de aplicabilitate.
Puncte esențiale
Delimitați sistemulDefiniți frontierele organizaționale, activitățile, informațiile, tehnologia, locațiile, interfețele și dependențele acoperite de ISMS și faceți excluderile sau interfețele clare.
Gestionați risculStabiliți criterii repetabile, evaluați riscurile, alegeți tratamente și obiective de control, atribuiți proprietari, acceptați riscul rezidual prin autoritatea adecvată și monitorizați schimbarea.
Evaluați asigurareaFolosiți audituri interne, revizuirea managementului, obiective, măsurători, acțiuni corective și certificare independentă competentă acolo unde certificarea servește o nevoie de afaceri sau contractuală.
Limitare importantăImplementarea sau certificarea nu dovedește că fiecare sistem este sigur, fiecare control este eficace sau fiecare obligație legală este îndeplinită. Un certificat acoperă organizația, domeniul ISMS, ediția standardului și perioada de valabilitate declarate; ISO nu auditează organizații și nu emite certificate.