ISO 27001 เป็นมาตรฐานระหว่างประเทศ (International Standard) ที่ให้กรอบสำหรับระบบจัดการความปลอดภัยข้อมูล (Information Security Management Systems - ISMS) เพื่อสนับสนุนความลับ (Confidentiality) ความสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูลอย่างต่อเนื่อง และการปฏิบัติตามกฎหมาย (Legal Compliance)
การรับรองมาตรฐาน ISO 27001 (ISO 27001 Certification) เป็นสิ่งจำเป็นสำหรับการปกป้องสินทรัพย์ที่สำคัญที่สุด เช่น ข้อมูลพนักงานและลูกค้า ภาพลักษณ์แบรนด์ (Brand Image) และข้อมูลส่วนตัวอื่นๆ มาตรฐาน ISO มีแนวทางเชิงกระบวนการ (Process-based Approach) สำหรับการเริ่มต้น การนำไปใช้ การดำเนินการ และการดูแลรักษา ISMS
ISO/IEC 27001 ให้ข้อกำหนดสำหรับองค์กรที่ต้องการ สร้าง นำไปใช้ รักษา และปรับปรุงอย่างต่อเนื่อง ระบบจัดการความปลอดภัยข้อมูล กรอบนี้ทำหน้าที่เป็นกฎเกณฑ์สำหรับการทบทวนความปลอดภัยของข้อมูลอย่างต่อเนื่อง ซึ่งจะเพิ่มความน่าเชื่อถือและเพิ่มคุณค่าให้บริการขององค์กร
มาตรฐาน ISO 27001 เปิดให้ใช้งานในเดือนตุลาคม 2548 (2005) โดยพื้นฐานแล้วแทนที่มาตรฐานเก่า BS7799-2 มันเป็นข้อกำหนดสำหรับ ISMS ระบบจัดการความปลอดภัยข้อมูล BS7799 เป็นมาตรฐานที่ยืนยาว มาเผยแพร่ครั้งแรกในทศวรรษ 1990s เป็นรหัสปฏิบัติ (Code of Practice) เมื่อพัฒนาไป ส่วนที่สองปรากฏขึ้นเพื่อครอบคลุมระบบจัดการ
วัตถุประสงค์คือการระบุข้อกำหนดสำหรับการจัดตั้ง การนำไปใช้ การดำเนินการ การตรวจสอบ การทบทวน การดูแลรักษา และการปรับปรุง ISMS ที่จัดทำเอกสารไว้ ภายในบริบทขององค์กรเกี่ยวกับความเสี่ยงทางธุรกิจโดยรวม
ISO 27001 ปรับปรุงเนื้อหาของ BS7799-2 และประสานงานกับมาตรฐานหลายมาตรฐาน ระบบได้รับการสร้างขึ้นโดยหน่วยรับรองหลายแห่ง สำหรับการแลกเปลี่ยนจากการรับรอง BS7799 ไปสู่การรับรอง ISO 27001
เป้าหมายของมาตรฐานเองคือการให้โมเดลสำหรับการจัดตั้ง การนำไปใช้ การดำเนินการ การตรวจสอบ การทบทวน การรักษา และการปรับปรุง Information Security Management System เกี่ยวกับการนำไปใช้ นี่ต้องเป็นการตัดสินใจเชิงยุทธศาสตร์ (Strategic Decision) นอกจากนี้ การออกแบบและการนำไปใช้ ISMS ขององค์กร ถูกกระทบโดยความต้องการและเป้าหมายของพวกเขา ความต้องการความปลอดภัย กระบวนการที่ใช้ และขนาดและโครงสร้างขององค์กร
มาตรฐานแสดงเทคนิคกระบวนการของมัน (Process Technique) เป็นการประยุกต์ใช้ระบบกระบวนการภายในองค์กร ร่วมกับการระบุและการสื่อสารของกระบวนการเหล่านี้ และการจัดการของพวกเขา มันใช้โมเดล PDCA (Plan-Do-Check-Act) เพื่อจัดระเบียบกระบวนการ และปฏิบัติตามค่านิยมที่กำหนดในทิศทาง OECG
มาตรฐาน ISO/IEC 27001 กำหนดการนำไปใช้ระบบจัดการ และสนับสนุนองค์กรด้วยข้อกำหนดที่จำเป็น เพื่อทำให้ความเสี่ยงความปลอดภัยข้อมูล (Data Security Risks) อยู่ภายใต้การควบคุมการจัดการ
มาตรฐานต้องการกรอบการจัดการความเสี่ยงแบบรวม (Integrated Risk Management Framework) ของนโยบายและขั้นตอน ที่ครอบคลุมการควบคุมทางกฎหมาย ทางกายภาพ และทางเทคนิค ทั้งหมดที่รวมอยู่ในกระบวนการจัดการขององค์กร
มาตรฐานใช้ได้กับองค์กรทุกแห่ง ไม่ว่าจะเป็นขนาด อุตสาหกรรม หรือประเภทธุรกิจ บริษัทสามารถต้องการการรับรอง ISO/IEC 27001 เพื่อแสดงความสุก (Maturity) ของสภาพแวดล้อมความปลอดภัยข้อมูล ปฏิบัติตามข้อผูกมัดสัญญา (Contractual Obligations) หรือได้ความได้เปรียบแข่งขัน (Competitive Advantage)
