ISO27001是ISO27000系列的主標(biāo)準(zhǔn)，類似于ISO9000系列中的ISO9001，各類組織可以按照ISO27001的要求建立自己的信息安全管理體系（ISMS），并通過認(rèn)證。

規(guī)劃的ISO27000系列包含下列標(biāo)準(zhǔn)

ISO 27000 原理與術(shù)語Principles and vocabulary

ISO 27001 信息安全管理體系—要求 ISMS Requirements (以BS 7799-2為基礎(chǔ))

ISO 27002 信息技術(shù)—安全技術(shù)—信息安全管理實(shí)踐規(guī)范 (ISO/IEC 17799:2005)

ISO 27003 信息安全管理體系—實(shí)施指南ISMS Implementation guidelines

ISO 27004 信息安全管理體系—指標(biāo)與測(cè)量ISMS Metrics and measurement

ISO 27005 信息安全管理體系—風(fēng)險(xiǎn)管理ISMS Risk management

ISO 27006 信息安全管理體系—認(rèn)證機(jī)構(gòu)的認(rèn)可要求ISMS Requirements for the accreditation of bodies providing certification

ISO 27007 信息技術(shù)-安全技術(shù)-信息安全管理體系審核員指南

Information technology_Security techniques_ISMS auditor guidelines

其中ISO27001：2005 的最終標(biāo)準(zhǔn)草案（FDIS）已經(jīng)在2005年7月發(fā)布，預(yù)計(jì)在2005年底或2006年初作為正式國際標(biāo)準(zhǔn)發(fā)布。

引言 -該標(biāo)準(zhǔn)描述了系統(tǒng)管理信息風(fēng)險(xiǎn)的過程。

1、范圍 -它指定適用于任何類型，規(guī)?；蛐再|(zhì)的組織的通用ISMS要求。

2、規(guī)范性引用文件 -僅 ISO / IEC 27000被視為對(duì)'27001'的用戶絕對(duì)必要：其余的ISO27k標(biāo)準(zhǔn)是可選的。

3、術(shù)語和定義 -參見 ISO / IEC 27000。

4、組織的上下文-了解組織的上下文，“利益相關(guān)方”的需求和期望并定義ISMS的范圍。第4.4節(jié)非常明確地指出“組織應(yīng)建立，實(shí)施，維護(hù)和持續(xù)改進(jìn)” ISMS。

5、領(lǐng)導(dǎo)力 -最高管理者必須表現(xiàn)出對(duì)ISMS，授權(quán)政策的領(lǐng)導(dǎo)力和承諾，并分配信息安全角色，職責(zé)和權(quán)限。

6、計(jì)劃 -概述識(shí)別，分析和計(jì)劃處理信息風(fēng)險(xiǎn)的過程，并闡明信息安全的目標(biāo)。

7、支持 -必須分配足夠的主管資源，提高意識(shí)，準(zhǔn)備并控制文檔。

8、操作 -有關(guān)評(píng)估和處理信息風(fēng)險(xiǎn)，管理變更以及記錄事物的更多詳細(xì)信息（部分以便可以由認(rèn)證審核員進(jìn)行審核）。

9、績效評(píng)估 -監(jiān)視，衡量，分析和評(píng)估/審核/審查信息安全控制，流程和管理系統(tǒng)，并在必要時(shí)進(jìn)行系統(tǒng)改進(jìn)。

10、改進(jìn) -解決審核和評(píng)審的結(jié)果（例如，不合格和糾正措施），對(duì)ISMS進(jìn)行持續(xù)改進(jìn)。

附件A參考控制目標(biāo)和控件 -實(shí)際上只不過是 ISO / IEC 27002中控制部分標(biāo)題的列表而已。該附件是“規(guī)范性的”，這意味著希望認(rèn)證的組織使用該附件，但主體表示，它們可以偏離或補(bǔ)充該附件，以解決其特定的信息風(fēng)險(xiǎn)。僅附件A很難解釋。請(qǐng)參閱ISO / IEC 27002，以獲得有關(guān)控件的更有用的詳細(xì)信息，包括實(shí)施指南。

介紹五個(gè)相關(guān)標(biāo)準(zhǔn)，以及ISO / IEC指令的第1部分，以獲取更多信息。此外，在標(biāo)準(zhǔn)主體中將 ISO 27000標(biāo)識(shí)為規(guī)范性（即必不可少的）標(biāo)準(zhǔn)，并且在風(fēng)險(xiǎn)管理方面有多個(gè)對(duì)ISO 31000的引用。

認(rèn)證的強(qiáng)制性要求
ISO27001是ISMS的正式規(guī)范，具有兩個(gè)不同的目的：

它列出了ISMS的設(shè)計(jì)，在相當(dāng)高的層次上描述了重要部分。
可以（可選）將其用作經(jīng)認(rèn)證的審核員進(jìn)行正式合規(guī)性評(píng)估的基礎(chǔ)，以認(rèn)證組織合規(guī)性。

認(rèn)證明確需要以下強(qiáng)制性文件：

ISMS范圍

信息安全政策

信息風(fēng)險(xiǎn)評(píng)估程序

信息風(fēng)險(xiǎn)處理流程

信息安全目標(biāo)

從事信息安全工作的人員的能力證明

組織認(rèn)為必要的其他與ISMS相關(guān)的文件

運(yùn)作計(jì)劃和控制文件

的結(jié)果的[信息]風(fēng)險(xiǎn)評(píng)估

關(guān)于[信息]風(fēng)險(xiǎn)處理的決定

監(jiān)視和衡量信息安全的證據(jù)

ISMS內(nèi)部審核計(jì)劃和審核結(jié)果

ISMS最高管理層審查的證據(jù)

識(shí)別出不合格的證據(jù)，并采取糾正措施

其他各種： 附件A提及但未充分說明進(jìn)一步的文檔，包括可接受的資產(chǎn)使用規(guī)則，訪問控制策略，操作程序，機(jī)密性或保密協(xié)議，安全系統(tǒng)工程原理，供應(yīng)商關(guān)系的信息安全策略，信息安全事件響應(yīng)程序，相關(guān)法律，法規(guī)和合同義務(wù)以及相關(guān)的合規(guī)性程序和信息安全連續(xù)性程序。但是，盡管附件A是規(guī)范性的，但組織并沒有正式要求采用和遵守附件A：它們可以使用其他結(jié)構(gòu)和方法來處理其信息風(fēng)險(xiǎn)。

認(rèn)證審核員幾乎可以肯定會(huì)檢查以下十五種文件是否存在：（a）是否存在，以及（b）是否適合目的。