ISO 27001規格がどのように機能するかについて、簡単な概要を説明する。
ほとんどの組織は、数多くの情報セキュリティ管理策を導入している。しかし、情報セキュリティマネジメントシステム（ISMS）を導入していない場合、管理策はやや無秩序でバラバラになりがちである。通常、運用されているセキュリティ管理は、情報技術（IT）やデータセキュリティの特定の側面に特化して対処しており、IT以外の情報資産（書類や専有知識など）は全体としてあまり保護されていない。さらに、事業継続計画や物理的セキュリティは、ITや情報セキュリティとはまったく無関係に管理されている場合があり、人事慣行では、組織全体の情報セキュリティの役割と責任を定義し、割り当てる必要性についてほとんど言及されていない場合がある。

ISO/IEC 27001は、管理者に次のことを求めています：

脅威、脆弱性、影響を考慮して、組織の情報セキュリティリスクを体系的に検討する；
容認できないと判断されたリスクに対処するために、一貫性のある包括的な情報セキュリティ管理策および／または他の形態のリスク処置（リスク回避やリスク移転など）を設計し、実施する。
情報セキュリティ対策が継続的に組織の情報セキュリティニーズを満たし続けることを確実にするための包括的な管理プロセスを採用する。
ISO/IEC 27001の認証の一環としてどのような管理策がテストされるかは、認証審査員によって異なります。これには、組織がISMSの範囲内であると判断したあらゆる管理策を含めることができ、このテストは、管理策が実施され、効果的に運用されていることをテストするために必要であると審査員が評価した任意の深さまたは範囲に行うことができます。

経営者は、認証目的のためにISMSの範囲を決定し、例えば、単一の事業単位または場所に限定することができる。ISO/IEC 27001の認証を取得したからといって、適用範囲外の組織の残りの部分が、情報セキュリティマネジメントに対して適切なアプローチを行っているとは限りません。

ISO/IEC 27000ファミリーの他の規格は、ISMSの設計、実施、運用の特定の側面について、例えば情報セキュリティリスク管理（ISO/IEC 27005）などの追加ガイダンスを提供しています。
ISO 27001規格は、情報セキュリティマネジメントシステムの管理者に、セキュリティリスクを検討し、特定されたリスクを管理するための包括的な一連のセキュリティ管理策を実施し、管理策の有効性とリスクレベルを測定するための継続的なプロセスを運用することを求めることによって機能する。