ISO 27001 is bij uitstek een risicogebaseerde norm. Het startpunt is het in kaart brengen van de dreigingen die een organisatie loopt en de risico’s die daarbij horen. Op basis van deze risico’s worden maatregelen geselecteerd welke geïmplementeerd dienen te worden.