提供ISO 27001標準如何運作的簡要概述
Context:大多陣列織都有數項資訊安全控制. 沒有資訊保安管理系統 (ISMS) 的情況下, 控制方式往往會有些不整齊, 運作中的安全控制通常針對特定的資訊技術 (IT) 或資料安全的某些方面, 該組織的人員管理規劃與實體安全可能完全與IT或資訊安全無關,  這項標準要求管理者:  系統地檢查組織的資訊安全風險, 設計和實施一套連貫且全面的資訊保安控制和/或其他形式的風險處理 (如風險避免或風險轉移) 以處理被認為不可接受的風險; 採用全面的管理流程, 確保資訊安全控制持續滿足組織的資訊安全需求. 該檢查的物件是哪些? 這可能包括任何組織認為屬於ISMS範圍內的控制, 該測試可根據審計師所評估的任何深度或範圍, 以測試控制是否已實施並有效運作.  管理層決定ISMS的範圍為認證目的, 這項認證並不一定意味著組織的其他部分,  其他ISO/IEC 27000標準系列的其他標準提供了關於設計,實施和運營ISMS的某些方面的額外指引, 例如關於資訊保安風險管理 (ISO/IEC 27005).
要求資訊保安管理系統的管理人員檢查安全風險,執行全面的安全控制套件來管理所發現的風險,並運用持續的流程來衡量控制的有效性和風險水平.