ISO 27001 est appliqué à toutes les organisations, des plus grandes aux plus grandes, dans tous les secteurs (finance, santé, énergie, éducation, fabrication, secteur public et informatique).
Le système de gestion de la sécurité de l'information ISO 27001 est un système de gestion qui inclut les personnes, les processus et les systèmes d'information dans la fourniture de la sécurité des informations d'entreprise. Il est pris en charge par la haute direction. Il est conçu pour protéger les informations et fournir des contrôles de sécurité adéquats et proportionnés qui donnent confiance aux parties intéressées. Le système de gestion de la sécurité de l'information ISO 27001 comprend la structure, les politiques, les activités de planification, les responsabilités, les pratiques, les procédures, les processus et les ressources de l'entreprise.
ISO 27001 convient à toutes les organisations, grandes et petites, quel que soit le pays ou l'industrie dans le monde. Cette norme est particulièrement nécessaire dans des domaines de grande importance, tels que les secteurs de la finance, de la santé, du public et des technologies de l'information. ISO 27001 est également important pour les organisations qui gèrent des informations pour le compte de tiers, telles que les sous-traitants des technologies de l'information. Il peut être utilisé pour assurer aux clients que leurs informations sont protégées.
L'organisation qui remplit toutes les exigences des normes ISO 27001 peut désormais demander un certificat en s'adressant à un organisme de certification. L'organisme de certification doit être un organisme agréé. Lorsque cette organisation reçoit la demande, elle commence par examiner les documents système demandés. Les documents à examiner doivent inclure la politique de sécurité de l'information de l'organisation, les rapports d'évaluation des risques, les plans d'action des risques, la déclaration de conformité, les définitions de processus de sécurité et les instructions d'application.
Une fois leurs inspections initiales terminées sur ces documents, les auditeurs de l’organisme de certification doivent procéder aux activités d’inspection sur place en s’adressant à la société requérante. Au cours de cet audit, il est vérifié si les contrôles de sécurité de l'information déterminés par l'entreprise en fonction du domaine d'activité sont réalisés conformément aux normes.
Sur la base du rapport préparé par les auditeurs, si l'audit est réussi, l'organisme de certification prépare le certificat de système de gestion de la sécurité de l'information ISO 27001 et le remet à l'entreprise.
Une fois ce certificat délivré, les révisions sont effectuées par l’organisme de certification une à deux fois par an, à la demande de l’entreprise. La durée de validité du certificat de système de gestion de la sécurité de l'information ISO 27001 est de trois ans. À la fin de cette période, les études de certification devraient être répétées et le certificat devrait être renouvelé.
