Definition
ISO/IEC 27001 beskriver, hvordan en virksomhed skal bygge og drive et ledelsessystem for informationssikkerhed - et ISMSLedelsessystemet - politikker, roller, risikovurderinger og rutiner - som ISO 27001 stiller krav til. Certificeringen beviser, at ISMS'et faktisk fungerer.. Standarden er bevidst teknologineutral: den siger ikke, hvilken firewall man skal have, men at man skal have vurderet risiko, valgt tiltag ud fra vurderingen, dokumenteret valgene og gennemgået dem jævnligt. Certificering foretages af et akkrediteret tredjepartsorgan og gælder et defineret omfang. Det er værd at læse omfanget, når man vurderer en leverandørs certifikat, for en certificering, der dækker hovedkontoret, siger ikke nødvendigvis noget om den tjeneste, man køber.