ISO 27001 définit les exigences d'un système de management de la sécurité de l'information.

Elle est auditable : une organisation peut s'y faire certifier par un organisme accrédité. La norme ne prescrit pas de mesures techniques précises ; elle demande une démarche — identifier les risques, décider des mesures, les mettre en œuvre, contrôler leur efficacité. ISO 27005 l'accompagne en décrivant la méthode d'appréciation des risques. Les formations de ce domaine portent sur ces deux normes et préparent aux certifications individuelles correspondantes.