國際標準化組織 (ISO) 是一個獨立的非政府組織，是全球最大的自愿性國際標準開發者聯盟。 國際電工委員會 (IEC) 是世界領導組織，負責制定和發布有關電氣、電子和相關技術領域的國際標準。

ISO/IEC 27000 系列標準由 ISO/IEC 聯合小組委員會發布，概述了數百個控制措施和控制機制，以幫助所有類型和規模的組織確保信息資產安全。 這些全球標準針對政策與流程提供了一個框架，其中包括所有與組織信息風險管理流程相關的法律、物理和技術控制措施。

ISO/IEC 27001 是一個正式規范信息安全管理體系 (ISMS) 的安全標準，旨在通過明確的管理控制實現信息安全。 作為正式規范，它規定了定義如何實施、監控、維護及不斷改進 ISMS 的各項要求。 此外，其中還規定了一系列最佳實踐，包括文檔編制要求、責任劃分、可用性、訪問控制、安全性、審核，以及糾正和預防措施。 通過 ISO / IEC 27001 認證，有助于組織遵守與信息安全有關的各種法規及法律要求。

信息安全管理是指導和控制企業或機構的關于信息安全風險的相互協調的活動，信息安全管理實際上是風險管理的過程，管理的基礎是風險的識別與評估。系統的信息安全管理主要體現以下原則：

★采用目前國際管理界公認的過程方法來建立并實施體系，將活動和相關的資源作為過程進行管理，并系統地識別和管理組織所用的過程，特別是過程之間的相互作用，以改善組織總體的效率和有效性。

★按照美國**質量管理專家戴明的PDCA持續改進模式來對信息安全管理體系的諸過程及其相互作用進行管理。

★將國際信息安全界公認的信息安全最佳慣例有序地形成標準，供各類組織在風險識別、風險評價的基礎上進行選擇實施，將風險降至企業或機構可以接受的水平。

★同時關注組織信息的實物/物理安全與信息系統的安全。

★預防控制為主的思想原則。

★業務持續性原則，即從故障中恢復業務運作，減少故障對關鍵業務過程的影響。

★動態管理原則，即對風險實施動態管理。

★全員參與的原則。