簡要介紹ISO 27001標準的運作方式
Context:大多陣列織都有一些資訊保安控制. 然而,如果沒有資訊保安管理系統 (ISMS),控制往往會有點混亂和不連貫,通常是針對特定情況的點解決方案或僅僅是慣例. 運營中的安全控制通常專門針對資訊科技 (IT) 或資料安全的某些方面,使非IT資訊資產 (如文書工作和專有知識) 整體上受到較少保護. 此外,業務連續性規劃和物理安全可能完全獨立於IT或資訊保安,而人力資源實踐可能很少提到需要在整個組織中定義和分配資訊保安角色和責任.  ISO/IEC 27001 要求管理人員:  系統地檢查組織的資訊保安風險,同時考慮威脅,漏洞和影響; 設計和實施一套連貫且全面的資訊保安控制和/或其他形式的風險處理 (如風險避免或風險轉移) 以解決被認為不可接受的風險;以及 採用總體管理流程,以確保資訊保安控制持續滿足組織的資訊保安需求. 作為ISO/IEC 27001認證的一部分,將測試哪些控制,取決於認證審計師. 這可以包括組織認為屬於ISMS範圍內的任何控制,並且這種測試可以根據審計師的評估進行任何深度或範圍,以測試控制是否已實施並有效執行.  管理層為認證目的確定ISMS的範圍,並可能將其限制在單個業務單位或地點. ISO/IEC 27001 證書並不一定意味著組織的其餘部分,在範圍之外,對資訊保安管理有適當的方法.  在ISO/IEC 27000標準系列中的其他標準提供了關於設計,實施和運營ISMS的某些方面的額外指導,例如關於資訊保安風險管理 (ISO/IEC 27005).
ISO 27001 標準要求資訊保安管理系統的管理人員檢查安全風險,實施一套全面的安全控制來管理已識別的風險,並執行持續的流程來衡量控制的有效性和風險水平.