但是有一點需要注意，一個組織如果沒有事先擁有并使用任何形式的管理體系，并不意味著該組織不能進行ISO27001認證。這種情況下，該組織就應當從經濟利益考慮，選擇一個合適的管理體系的認證機構來提供認證服務。認證機構得到一個國家鑒定機構的委托授權，才能為認證組織提供認證服務，并發放認證證書。大多數國家都有自己的國家鑒定機構（比如：英國UKAS），任何獲得該機構授權進行ISMS認證的機構均記錄在案。

ISO27001標準指導一個企業如何著手開展ISMS項目，并且關注整個項目進程中的若干重要元素。
1950年W. Edwards Deming提出PDCA流程，即計劃（Plan）－執行（Do）－檢查（Check）－提升（Act）過程，意在說明業務流程應當是不斷改進的，該方法使得職能部門經理可以識別出那些需要修正的環節并進行修正。這個流程以及流程的改進，都遵循這樣一個過程：先計劃，再執行，而后對其運行結果進行評估，緊接著按照計劃的具體要求對該評估進行復查，而后尋找到任何與計劃不符的結果偏差（即潛在改進的可能性），后向管理層提出如何運行的終報告。

新要求：ISO 27001:2005原本有11個領域（domain）、133項控制措施，新版DIS目前調整為14個領域（A.5-A.18）、113個控制措施（未來仍可能有改動）。新增的領域是將原分散在各領域中的部分控制目標級別提升，組成新領域，如加密與供應鏈管理因其重要性而被立出來成為新領域；或是將原有領域分拆，如將通訊與作業管理分開成兩個立的領域，以反映目前信息安全的發展趨勢。而控制措施的減少則是通過合并重復的項目來進行，像變更管理在不同的領域中有重復就予以合并。也有新增的控制項目比如對智能型裝置的管理、強化ICT供應鏈的委外管理、以及系統開發項目管理的信息安全要求等。

更多參考：此次ISO也新增許多指引供企業參考，組織可以通過不同的面以及風險進行深度的強化，通過ISO 27001驗證只是基本要求。目前ISO 27000系列指引編號已超過44號（001-044），例如金融服務、數字鑒識、供應鏈管理（4本）、軟件開發測試等，主管機關可參考這些指引做升級的要求。

信息安全管理要求ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分：BS7799-1，信息安全管理實施規則；BS7799-2，信息安全管理體系規范。部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規定了根據立組織的需要應實施安全控制的要求。

自2005年國際標準化組織(簡稱:ISO)將BS7799轉化為ISO27001：2005發布以來，此標準在國際上獲得了的認可，相當數量的組織采納并進行了信息安全管理體系的認證,至2011年底，國際上頒發的ISO27001認證證書總數約為15625張（其中，BSI的市場占有率達約為45.65%）。在我國，自從2008年將ISO27001:2005轉化為國家標準GB/T22080:2008以來，信息安全管理體系認證在國內進一步獲得了全面推廣，至2011年底，國內頒發認證證書數量是1107張。越來越多的行業和組織認識到信息安全的重要性，并把它作為基礎管理工作之一開展起來。