任何一个ISMS体系的建立和开发都应当满足组织特的需求。每个组织不仅都有自己特的业务模式、运营目标、形象特点和内部文化，他们对待风险的态度倾向也大相径庭。换句话说，同一个东西，一个机构组织认为是提防的威胁，在另一个组织看来可能是一个抓住的机遇。同样地，各个机构组织对于既有风险防护的投入也参差不齐。基于以上或者其他原因，每个运行ISMS的组织，其内部成员对风险评估有一个共识，这个风险评估的方法论、结果发现和推荐解决方式都得到董事会的。
ISO27001标准指导一个企业如何着手开展ISMS项目，并且关注整个项目进程中的若干重要元素。
1950年W. Edwards Deming提出PDCA流程，即计划（Plan）－执行（Do）－检查（Check）－提升（Act）过程，意在说明业务流程应当是不断改进的，该方法使得职能部门经理可以识别出那些需要修正的环节并进行修正。这个流程以及流程的改进，都遵循这样一个过程：先计划，再执行，而后对其运行结果进行评估，紧接着按照计划的具体要求对该评估进行复查，而后寻找到任何与计划不符的结果偏差（即潜在改进的可能性），后向管理层提出如何运行的终报告。
信息安全风险评估：组织应确定如何确定其信息安全风险评估和处置过程的可靠性。信息安全风险处理：适用时，组织应调整信息安全风险评估和处置过程，以及采用的方法，以改善过程的可靠性。保留附录A控制措施与控制目标新版ISO27001依然会保留SOA和附录A控制目标、控制措施的架构；因此，毫无疑问，ISO27001的新版修订一定会与ISO27002的修订同步进行。
认证，认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动。认证机构，是经国家认证认可监督管理(CNCA)批准可以在中国境内合法开展管理体系认证和产品认证的机构。就是说取得此项认证资质的企业或单位才可以进行审核活动。比如BSI，DNV，北京新世纪认证有限公司，华夏认证中心有限公司等等，他们属于认证机构。认证机构是经CNCA授权的，认可机构管理认证机构。
认可，是正式表明合格评定机构具备实施特定合格评定工作能力的第三方证明。通俗地讲，认可是指认可机构按照相关国际标准或国家标准，对从事认证、检测和检查等活动的合格评定机构实施评审，证实其满足相关标准要求，进一步证明其具有从事认证、检测和检查等活动的技术能力和管理能力，并颁发认可证书。中国的认可机构是CNAS，英国的认可机构是UKAS，美国的认可机构是ANAB。
获得CNAS认可的认证机构名录如下：中国质量认证中心，上海质量体系审核中心，北京赛西认证有限责任公司，广州赛宝认证中心服务有限公司，北京新世纪认证有限公司，华夏认证中心有限公司，中国信息安全认证中心，上海挪华威认证有限公司
