일반사항

ISO27001은 정보보호 경영시스템 (Information Security Management System; ISMS)의 수립, 구현, 유지, 지속적 개선에 필요한 요구사항을 제공하기 위하여 개발하였다.

ISMS 채택 여부는 조직의 전략적 결정에 따른다. 조직에서 ISMS를 설계하고 구현하는 것은 조직의 필요성과 목적, 보안 요구사항, 사용된 조직의 프로세스, 조직의 규모 및 구조에 영향을 받는다. 영향을 주는 모든 요소는 시간에 따라 변화할 수 있다.

정보보호 경영시스템은 위험관리 프로세스를 적용하여 정보의 기밀성, 무결성, 가용성을 보존하고 이해당사자에게 위험이 적절하게 관리된다는 믿음을 제공한다.

정보보호 경영시스템을 조직의 프로세스와 전체 경영 구조의 일부분으로 통합하고, 정보보호는 프로세스, 정보시스템. 통제의 설계로 간주하는 것이 중요하다. 정보보호 경영시스템의 구현은 조직의 필요에 따라 확장될 것으로 예상한다.

본 표준은 자신의 정보보호 요구사항을 충족하는 조직의 능력을 평가하기 위하여 내부자 및 외부자가 사용할 수 있다.

본 표준에서 제시하는 요구사항의 순서는 중요성을 반영하거나 구현해야 하는 순서를 의미한 것이 아니다. 목록의 항목은 단순히 참조용으로 열거한 것이다

ISO/IEC 27000은 정보보호 경영시스템에 대한 표준패밀리 ISO/IEC 27003[2], ISO/IEC 27004[3]. ISO/IEC 27005[4]에서 참조할 수 있도록 정보보호 경영시스템의 개요와 관련 용어 및 정의를 설명하고 있다.

적용범위

본 표준은 조직의 상황에 맞게 정보보호 경영시스템을 유지, 지속적 개선하기 위한 요구사항을 명시하고 있다.
또한, 본 표준은 조직의 필요성에 맞추어 수행되는 정보보호 위험의 평가와 처리에 대한 요구사항을 포함하고 있다.

본 표준의 요구사항은 조직의 유형, 규모. 특성에 상관없이 모든 조직에 적용할 수 있도록 일반적인 내용으로 수립된 것이다. (조직이 본 표준에 일치성을 주장하기 위해서는 4절에서 10절에 규정된 어느 요구사항도 적용을 제외할 수 없다)