ISO 27001, hangi sektörden olursa olsun (finans, sağlık, enerji, eğitim, üretim, kamu ve BT sektörler') büyük küçük tüm kuruluşlara uygulanmaktadır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, kurumsal bilgi güvenliğinin sağlanmasında insanları, süreçleri ve bilgi sistemlerini içine alan ve üst yönetim tarafından desteklenen bir yönetim sistemidir. Bilgi varlıklarını korumak ve ilgili taraflara güven veren, yeterli ve orantılı güvenlik kontrollerini sağlamak için tasarlanmıştır. ISO 27001 Bilgi Güvenliği Yönetim Sistemi, kurumsal yapıyı, politikaları, planlama faaliyetlerini, sorumlulukları, uygulamaları, prosedürleri, prosesleri ve kaynakları içerir.
ISO 27001, dünyanın hangi ülkesinden veya hangi sektörden olursa olsun büyük küçük tüm kuruluşlara uygundur. Bu standart, finans, sağlık, kamu ve bilgi teknolojileri sektörleri gibi büyük öneme sahip olduğu alanlarda özellikle gereklidir. ISO 27001, bilgi teknolojileri taşeron şirketleri gibi bilgiyi başkaları adına yöneten kuruluşlar için de oldukça önemlidir. Müşterilere bilgilerinin koruma altında olduğu güvencesini vermek için kullanılabilir.
ISO 27001 standartlarının tüm gereklerini yerine getiren kuruluş artık bir belgelendirme kuruluşuna başvurarak belge talep edebilir. Belgelendirme kuruluşunun akredite bir kuruluş olması gerekmektedir. Bu kuruluş talebi aldığında, önce talep edeceği sistem dokümanları üzerinden bir inceleme başlatır. Gözden geçirilecek dokümanlar arasında, kuruluşun bilgi güvenlik politikası, risk değerlendirme raporları, risk eylem planları, uygunluk beyanları, güvenlik süreç tanımları ve uygulama talimatları mutlaka olmak zorundadır.
Belgelendirme kuruluşundaki denetçiler, bu dokümanlar üzerindeki ilk incelemelerini tamamladıktan sonra, belge talep eden firmaya giderek, bu defa yerinde denetim çalışmalarına başlarlar. Bu denetim sırasında, firmanın faaliyet alanına bağlı olarak belirlediği bilgi güvenlik kontrollerinin, standartlara uygun olarak yapılıp yapılmadığı gözlenir.
Denetçilerin hazırladığı rapor üzerine, eğer denetim başarı ile sonuçlanmışsa belgelendirme kuruluşu ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi’ni hazırlayarak firmaya teslim eder.
Bu belge verildikten sonra da, firmanın talebine bağlı olarak yılda bir veya iki kez belgelendirme kuruluşu tarafından yenilemeye yönelik gözden geçirme incelemeleri yapılır. ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi’nin geçerlik süresi üç yıldır. Bu sürenin sonunda belgelendirme çalışmalarının yeniden yapılması ve belgenin yenilenmesi gerekmektedir.
