 குறிப்பு உரையின் அடிப்படையில், ISO 27001 சான்றிதழின் மூன்று நிலைகள் மற்றும் ஒவ்வொரு கட்டத்தின் செயல்பாடுகளின் புல்லட் பட்டியலை வழங்கவும்.
SO/IEC 27001 என்பது தகவல் பாதுகாப்பை நிர்வகிப்பதற்கான ஒரு சர்வதேச தரமாகும். தரநிலையானது முதலில் தரநிலைப்படுத்தலுக்கான சர்வதேச அமைப்பு (ISO) மற்றும் சர்வதேச எலக்ட்ரோடெக்னிகல் கமிஷன் (IEC) ஆகியவற்றால் 2005 இல் கூட்டாக வெளியிடப்பட்டது, 2013 இல் திருத்தப்பட்டது, மேலும் மிக சமீபத்தில் 2022 இல். தகவல் பாதுகாப்பு மேலாண்மை அமைப்பை (ஐஎஸ்எம்எஸ்) நிறுவுதல், செயல்படுத்துதல், பராமரித்தல் மற்றும் தொடர்ந்து மேம்படுத்துவதற்கான தேவைகளை இது விவரிக்கிறது - இதன் நோக்கம் நிறுவனங்கள் தாங்கள் வைத்திருக்கும் தகவல் சொத்துக்களை மிகவும் பாதுகாப்பானதாக மாற்ற உதவுவதாகும். தரநிலையின் தேவைகளைப் பூர்த்தி செய்யும் நிறுவனங்கள், தணிக்கையை வெற்றிகரமாக முடித்த பிறகு, அங்கீகாரம் பெற்ற சான்றிதழ் அமைப்பால் சான்றளிக்கப்படுவதைத் தேர்வுசெய்யலாம். ISO/IEC 27001 சான்றிதழ் செயல்முறையின் செயல்திறன் மற்றும் ஒட்டுமொத்த தரநிலை 2020 இல் நடத்தப்பட்ட ஒரு பெரிய அளவிலான ஆய்வில் குறிப்பிடப்பட்டுள்ளது. தரநிலை எவ்வாறு செயல்படுகிறது என்பது பெரும்பாலான நிறுவனங்கள் பல தகவல் பாதுகாப்புக் கட்டுப்பாடுகளைக் கொண்டுள்ளன. இருப்பினும், ஒரு தகவல் பாதுகாப்பு மேலாண்மை அமைப்பு (ஐஎஸ்எம்எஸ்) இல்லாமல், கட்டுப்பாடுகள் ஓரளவு ஒழுங்கற்றதாகவும், முரண்பாடானதாகவும் இருக்கும், குறிப்பிட்ட சூழ்நிலைகளுக்கு புள்ளி தீர்வுகளாக அல்லது வெறுமனே மாநாட்டின் விஷயமாக அடிக்கடி செயல்படுத்தப்படுகின்றன. செயல்பாட்டில் உள்ள பாதுகாப்புக் கட்டுப்பாடுகள் பொதுவாக தகவல் தொழில்நுட்பம் (IT) அல்லது தரவுப் பாதுகாப்பின் சில அம்சங்களைக் குறிப்பிடுகின்றன; IT அல்லாத தகவல் சொத்துக்களை (காகித வேலைகள் மற்றும் தனியுரிம அறிவு போன்றவை) ஒட்டுமொத்தமாக குறைவாக பாதுகாக்கிறது. மேலும், வணிக தொடர்ச்சி திட்டமிடல் மற்றும் உடல் பாதுகாப்பு ஆகியவை IT அல்லது தகவல் பாதுகாப்பிலிருந்து முற்றிலும் சுயாதீனமாக நிர்வகிக்கப்படலாம், அதே நேரத்தில் மனித வள நடைமுறைகள் நிறுவனம் முழுவதும் தகவல் பாதுகாப்பு பாத்திரங்கள் மற்றும் பொறுப்புகளை வரையறுக்க மற்றும் ஒதுக்க வேண்டிய அவசியத்தை சிறிய குறிப்பைக் கொடுக்கலாம். ISO/IEC 27001 க்கு மேலாண்மை தேவை ஏற்றுக்கொள்ள முடியாததாகக் கருதப்படும் அபாயங்களை நிவர்த்தி செய்ய, ஒரு ஒத்திசைவான மற்றும் விரிவான தகவல் பாதுகாப்புக் கட்டுப்பாடுகள் மற்றும்/அல்லது இடர் சிகிச்சையின் பிற வடிவங்களை வடிவமைத்து செயல்படுத்தவும். மற்றும் தகவல் பாதுகாப்பு கட்டுப்பாடுகள் தொடர்ந்து நிறுவனத்தின் தகவல் பாதுகாப்பு தேவைகளை தொடர்ந்து பூர்த்தி செய்வதை உறுதி செய்வதற்காக ஒரு மேலோட்டமான மேலாண்மை செயல்முறையை ஏற்கவும். ISO/IEC 27001க்கான சான்றிதழின் ஒரு பகுதியாக என்ன கட்டுப்பாடுகள் சோதிக்கப்படும் என்பது சான்றிதழ் தணிக்கையாளரைப் பொறுத்தது. ISMSன் வரம்பிற்குள் உள்ளதாக நிறுவனம் கருதும் எந்தவொரு கட்டுப்பாடுகளும் இதில் அடங்கும், மேலும் இந்த சோதனையானது தணிக்கையாளரால் மதிப்பிடப்பட்ட எந்த ஆழத்திலும் அல்லது அளவிலும் கட்டுப்பாடு செயல்படுத்தப்பட்டதா மற்றும் திறம்பட செயல்படுகிறதா என்பதை சோதிக்க வேண்டும். நிர்வாகம் சான்றிதழ் நோக்கங்களுக்காக ISMS இன் நோக்கத்தை தீர்மானிக்கிறது மற்றும் அதை ஒரு வணிக அலகு அல்லது இருப்பிடத்திற்கு வரம்பிடலாம். ISO/IEC 27001 சான்றிதழானது, நோக்கம் கொண்ட பகுதிக்கு வெளியே, தகவல் பாதுகாப்பு மேலாண்மைக்கு போதுமான அணுகுமுறையைக் கொண்டிருக்கும் நிறுவனத்தின் எஞ்சிய பகுதிகளைக் குறிக்காது. ISO/IEC 27000 குடும்ப தரநிலைகளில் உள்ள பிற தரநிலைகள், ISMS-ஐ வடிவமைத்தல், செயல்படுத்துதல் மற்றும் இயக்குதல் போன்ற சில அம்சங்களில் கூடுதல் வழிகாட்டுதலை வழங்குகின்றன, உதாரணமாக தகவல் பாதுகாப்பு இடர் மேலாண்மை (ISO/IEC 27005). ISO/IEC 27001 BS 7799 இன் வரலாறு 1995 இல் BSI குழுமத்தால் வெளியிடப்பட்ட ஒரு தரநிலையாகும். இது UK அரசாங்கத்தின் வர்த்தக மற்றும் தொழில்துறை (DTI) ஆல் எழுதப்பட்டது மற்றும் பல பகுதிகளைக் கொண்டிருந்தது. தகவல் பாதுகாப்பு மேலாண்மைக்கான சிறந்த நடைமுறைகளைக் கொண்ட முதல் பகுதி, 1998 இல் திருத்தப்பட்டது; உலகளாவிய தரநிலை அமைப்புகளில் நீண்ட விவாதத்திற்குப் பிறகு, இது இறுதியில் ISO ஆல் ISO/IEC 17799, "தகவல் தொழில்நுட்பம் - தகவல் பாதுகாப்பு மேலாண்மைக்கான நடைமுறைக் குறியீடு" என ஏற்றுக்கொள்ளப்பட்டது. 2000 இல். ISO/IEC 17799 பின்னர் ஜூன் 2005 இல் திருத்தப்பட்டது மற்றும் இறுதியாக ISO 27000 தரநிலைகளில் ISO/IEC 27002 என ஜூலை 2007 இல் இணைக்கப்பட்டது. BS7799 இன் இரண்டாம் பகுதியானது BSI ஆல் 1999 இல் முதலில் வெளியிடப்பட்டது, 9999 இல் இது வெளியிடப்பட்டது. 2, "தகவல் பாதுகாப்பு மேலாண்மை அமைப்புகள் - பயன்பாட்டிற்கான வழிகாட்டுதலுடன் விவரக்குறிப்பு." BS 7799-2 BS 7799-2 இல் அடையாளம் காணப்பட்ட தகவல் பாதுகாப்பு மேலாண்மை அமைப்பு மற்றும் கட்டுப்பாடுகளைக் குறிப்பிடும் தகவல் பாதுகாப்பு மேலாண்மை அமைப்பை (ISMS) எவ்வாறு செயல்படுத்துவது என்பதில் கவனம் செலுத்துகிறது. இது பின்னர் ISO/IEC 27001:2005 ஆனது. BS 7799 பகுதி 2 ஐஎஸ்ஓவால் நவம்பர் 2005 இல் ISO/IEC 27001 ஆக ஏற்றுக்கொள்ளப்பட்டது. BS 7799 பகுதி 3 இடர் பகுப்பாய்வு மற்றும் நிர்வாகத்தை உள்ளடக்கிய 2005 இல் வெளியிடப்பட்டது. இது ISO/IEC 27001:2005 உடன் இணைகிறது. ISO/IEC 27001 உடன் தொடர்புடைய BS தரநிலைகள் எதற்கும் மிகக் குறைவான குறிப்பு அல்லது பயன்பாடு மட்டுமே செய்யப்படுகிறது. சான்றிதழ் ஒரு ISMS ஆனது ISO/IEC 27001 தரநிலைக்கு இணங்க உலகளவில் பல அங்கீகாரம் பெற்ற பதிவாளர்களால் சான்றளிக்கப்படலாம். ISO/IEC 27001 (எ.கா. JIS Q 27001, ஜப்பானிய பதிப்பு) இன் அங்கீகரிக்கப்பட்ட தேசிய வகைகளுக்கு எதிரான சான்றிதழ், அங்கீகாரம் பெற்ற சான்றிதழ் அமைப்பால் ISO/IEC 27001 க்கு எதிரான சான்றிதழுக்கு சமமானதாகும். சில நாடுகளில், குறிப்பிட்ட தரநிலைகளுக்கு மேலாண்மை அமைப்புகளின் இணக்கத்தை சரிபார்க்கும் அமைப்புகள் "சான்றிதழ் அமைப்புகள்" என்று அழைக்கப்படுகின்றன, மற்றவை பொதுவாக "பதிவு அமைப்புகள்", "மதிப்பீடு மற்றும் பதிவு அமைப்புகள்", "சான்றிதழ் / பதிவு அமைப்புகள்", மற்றும் சில நேரங்களில் "பதிவாளர்கள்". ISO/IEC 27001 சான்றிதழ், மற்ற ISO மேலாண்மை அமைப்பு சான்றிதழ்களைப் போலவே, பொதுவாக ISO/IEC 17021 மற்றும் ISO/IEC 27006 தரநிலைகளால் வரையறுக்கப்பட்ட மூன்று-நிலை வெளிப்புற தணிக்கை செயல்முறையை உள்ளடக்கியது: நிலை 1 என்பது ISMS இன் ஆரம்ப, முறைசாரா மதிப்பாய்வு ஆகும். எடுத்துக்காட்டாக, நிறுவனத்தின் தகவல் பாதுகாப்புக் கொள்கை, பொருந்தக்கூடிய அறிக்கை (SoA) மற்றும் இடர் சிகிச்சைத் திட்டம் (RTP) போன்ற முக்கிய ஆவணங்களின் இருப்பு மற்றும் முழுமைக்கான காசோலைகள் உள்ளன. இந்த நிலை தணிக்கையாளர்களை நிறுவனத்துடன் பழக்கப்படுத்துகிறது மற்றும் நேர்மாறாகவும் உதவுகிறது. நிலை 2 என்பது மிகவும் விரிவான மற்றும் முறையான இணக்கத் தணிக்கை ஆகும், ISO/IEC 27001 இல் குறிப்பிடப்பட்டுள்ள தேவைகளுக்கு எதிராக ISMS ஐ சுயாதீனமாகச் சோதிக்கிறது. மேலாண்மை அமைப்பு முறையாக வடிவமைக்கப்பட்டு செயல்படுத்தப்பட்டு, உண்மையில் செயல்பாட்டில் உள்ளது என்பதை உறுதிப்படுத்த தணிக்கையாளர்கள் ஆதாரங்களைத் தேடுவார்கள் ( எடுத்துக்காட்டாக, ISMS-ஐ மேற்பார்வையிட ஒரு பாதுகாப்புக் குழு அல்லது அதுபோன்ற நிர்வாகக் குழு தொடர்ந்து கூடுகிறது என்பதை உறுதிப்படுத்துவதன் மூலம்). சான்றிதழ் தணிக்கைகள் பொதுவாக ISO/IEC 27001 முன்னணி தணிக்கையாளர்களால் நடத்தப்படுகின்றன. இந்தக் கட்டத்தைக் கடந்து செல்வதால், ISMS ஆனது ISO/IEC 27001 உடன் இணங்கச் சான்றளிக்கப்பட்டது. நிறுவனம் தரநிலைக்கு இணங்குவதை உறுதிசெய்ய தொடர்ந்து ஆய்வுகள் அல்லது தணிக்கைகள் மேற்கொள்ளப்படுகின்றன. ISMS குறிப்பிடப்பட்ட மற்றும் உத்தேசித்தபடி தொடர்ந்து செயல்படுவதை உறுதிப்படுத்த, சான்றிதழ் பராமரிப்புக்கு அவ்வப்போது மறுமதிப்பீட்டு தணிக்கை தேவைப்படுகிறது. இவை குறைந்தபட்சம் ஆண்டுக்கு ஒருமுறை நடக்க வேண்டும் ஆனால் (நிர்வாகத்துடனான ஒப்பந்தத்தின் மூலம்) அடிக்கடி நடத்தப்படுகின்றன, குறிப்பாக ISMS இன்னும் முதிர்ச்சியடையும் போது.
ISO 27001 சான்றிதழின் மூன்று நிலைகள் பின்வருமாறு: 1. நிலை 1: தகவல் பாதுகாப்பு மேலாண்மை அமைப்பின் ஆரம்ப, முறைசாரா ஆய்வு. முதன்மை ஆவணங்களின் இருப்பு மற்றும் முழுமையை சரிபார்ப்பது செயல்பாடுகளில் அடங்கும். 2. நிலை 2: ISO 27001 இல் குறிப்பிடப்பட்டுள்ள தேவைகளை போதுமான அளவு செயல்படுத்துவதை சரிபார்க்க மூன்றாம் தரப்பினரால் செய்யப்படும் விரிவான மற்றும் முறையான தணிக்கை 3. நடந்துகொண்டிருக்கிறது: ISO 27001 இன் தேவைகளுடன் தொடர்ந்து இணங்குவதை உறுதி செய்வதற்கான பின்தொடர்தல் மதிப்பாய்வுகள் மற்றும் தணிக்கைகள்.