Надайте короткий опис того, як працює стандарт ISO 27001
Більшість організацій мають ряд контролів інформаційної безпеки. Проте, без системи управління інформаційною безпекою (ISMS), контролі, як правило, дещо неорганізовані і роз'єднані, часто реалізуються як точні рішення для конкретних ситуацій або просто як питання конвенції. Контроли безпеки в експлуатації, як правило, розглядають певні аспекти інформаційних технологій (ІТ) або безпеки даних конкретно; залишаючи неІТ-інформаційні активи (такі як паперознавство та власні знання) менш захищеними в цілому. Більш того, планування безперервності бізнесу та фізична безпека можуть управлятися цілком незалежно від IT або інформаційної безпеки, тоді як практика людських ресурсів може мало посилатися на необхідність визначати та приділяти ролі та відповідальність в галузі інформаційної безпеки по всій організації.

ISO/IEC 27001 вимагає, щоб управління:

систематично вивчати ризики інформаційної безпеки організації з урахуванням загроз, вразливостей та впливів;
розробляти та впроваджувати узгоджений і всеосяжний набір засобів контролю інформаційної безпеки та/або інших форм поводження з ризиками (наприклад, уникнення ризиків або передача ризиків) для вирішення тих ризиків, які вважаються неприйнятними;
Прийняти загальний процес управління, щоб гарантувати, що контролі інформаційної безпеки продовжують відповідати потребам інформаційної безпеки організації на постійній основі.
Які контролі будуть перевірені в рамках сертифікації до ISO/IEC 27001 залежить від сертифікаційного аудитора. Це може включати в себе будь-які контролю, які організація визнала в межах сфери застосування ISMS, і це тестування може бути в будь-якій глибині або в будь-якій мірі, як оцінюється аудитором, якщо це необхідно для тестування того, що контроль був реалізований і працює ефективно.

Керівництво визначає сферу застосування ISMS для цілей сертифікації і може обмежувати її, наприклад, одним діловим підрозділом або місцем розташування. Сертифікат ISO/IEC 27001 не обов'язково означає, що решта організації, поза сферою застосування, має адекватний підхід до управління інформаційною безпекою.

Інші стандарти сімейства стандартів ISO/IEC 27000 надають додаткові рекомендації щодо певних аспектів проектування, впровадження та експлуатації системи, наприклад, щодо управління ризиками інформаційної безпеки (ISO/IEC 27005).
Стандарт ISO 27001 працює, вимагаючи від управління системою управління інформаційною безпекою вивчати ризики безпеки, впроваджувати комплексний набір засобів контролю безпеки для управління виявленими ризиками та керувати поточними процесами для вимірювання ефективності контролю та рівня ризику.