ISO 27001 là tiêu chuẩn quốc tế cung cấp khung cho Hệ thống Quản trị An ninh Thông tin (ISMS - Information Security Management Systems) để hỗ trợ tính bảo mật, toàn vẹn và sẵn sàng liên tục của thông tin và tuân thủ pháp lý.
Chứng nhận ISO 27001 thiết yếu để bảo vệ tài sản quan trọng nhất như dữ liệu nhân viên và khách hàng, hình ảnh thương hiệu và dữ liệu riêng tư khác. Tiêu chuẩn ISO chứa cách tiếp cận dựa trên quy trình để khởi tạo, triển khai, vận hành và duy trì ISMS.
ISO/IEC 27001 cung cấp yêu cầu cho các tổ chức tìm cách thiết lập, triển khai, duy trì và liên tục cải thiện hệ thống quản trị an ninh thông tin. Khung này đóng vai trò như một quy tắc hướng tới việc liên tục xem xét an ninh của thông tin, sẽ độ tin cậy và thêm giá trị cho dịch vụ của tổ chức.
Tiêu chuẩn ISO 27001 được công bố tháng 10 năm 2005, cơ bản thay thế tiêu chuẩn cũ BS7799-2. Nó là yêu cầu cho ISMS, một Hệ thống Quản trị An ninh Thông tin. BS7799 là tiêu chuẩn lâu dài, đầu tiên công bố trong những năm 90 như một mã thực hành (code of practice). Khi nó phát triển, một phần thứ hai xuất hiện để bao phủ các hệ thống quản trị.
Mục tiêu của nó là nhận diện các yêu cầu để thiết lập, triển khai, vận hành, giám sát, xem xét, duy trì và cải thiện ISDL có tài liệu trong bối cảnh toàn bộ rủi ro kinh doanh của tổ chức.
ISO 27001 đã nâng cao nội dung của BS7799-2 và điều phối nó với nhiều tiêu chuẩn khác. Một hệ thống đã được tạo bởi nhiều cơ quan chứng nhận để chuyển đổi từ chứng nhận BS7799 sang chứng nhận ISO 27001.
Mục tiêu của chính tiêu chuẩn là cung cấp mô hình cho việc thiết lập, triển khai, vận hành, giám sát, xem xét, duy trì, và cải thiện Hệ thống Quản trị An ninh Thông tin. Về việc áp dụng, đây phải là quyết định chiến lược. Hơn nữa, thiết kế và triển khai ISMS của tổ chức bị ảnh hưởng bởi nhu cầu và mục tiêu của họ, yêu cầu bảo mật, quy trình được sử dụng và quy mô và cấu trúc của tổ chức.
Tiêu chuẩn đại diện cho kỹ thuật quy trình của nó như việc áp dụng một hệ thống quy trình bên trong tổ chức, cùng với việc nhận diện và giao tiếp các quy trình này, và quản trị chúng. Nó sử dụng mô hình PDCA (Plan-Do-Check-Act) để tổ chức các quy trình, và tuân theo các giá trị được nêu trong hướng dẫn OECD.
Tiêu chuẩn ISO/IEC 27001 định nghĩa việc triển khai một hệ thống quản trị và hỗ trợ tổ chức với các yêu cầu cần thiết để đưa rủi ro an ninh dữ liệu dưới kiểm soát quản trị.
Tiêu chuẩn yêu cầu một khung quản trị rủi ro tích hợp của chính sách và quy trình chứa tất cả các kiểm soát pháp lý, vật lý và kỹ thuật được bao gồm trong quy trình quản trị của tổ chức.
Tiêu chuẩn áp dụng cho mọi tổ chức, bất kể quy mô, ngành nghiệp hoặc loại hình kinh doanh. Công ty có thể cần chứng nhận ISO/IEC 27001 để chứng minh sự trưởng thành của môi trường an ninh thông tin, đáp ứng nghĩa vụ hợp đồng, hoặc đạt lợi thế cạnh tranh độc đáo.