Publicada el 15 de Octubre de 2005, la norma UNE-ISO/IEC 27001:2007 "Tecnología de la información. Técnicas de seguridad. Sistemas de Gestión de la Seguridad de la Información (SGSI). Requisitos", es la norma principal de la serie ISO 27000 y contiene los requisitos del sistema de gestión de seguridad de la información. Tiene su origen en la BS 7799-2:2002 (que ya quedó anulada) y es la norma con arreglo a la cual se certifican por auditores externos los SGSIs de las organizaciones. En su Anexo A, enumera en forma de resumen los objetivos de control y controles que desarrolla la UNE-ISO/IEC 27002:2009 "Tecnología de la Información. Técnicas de seguridad. Código de buenas prácticas para la gestión de la seguridad de la información", para que sean seleccionados por las organizaciones en el desarrollo de sus SGSI; a pesar de no ser obligatoria la implementación de todos los controles enumerados en dicho anexo, la organización deberá argumentar sólidamente la no aplicabilidad de los controles no implementados.

Dentro de la familia de las normas ISO 27000, se encuentra la norma ISO/IEC 27002:20011. Tecnologías de la información. Técnicas de seguridad. Directrices para las auditorías de sistemas de gestión de la seguridad de la información. Esta norma es una guía para la realización de auditorías de sistemas de gestión de la seguridad de la información, tanto auditorías internas y externas.

El hecho de implantar un SGSI según la norma ISO/IEC 27001 puede aportar las siguientes ventajas a la organización:

• Demuestra la garantía independiente de los controles internos y cumple los requisitos de gestión corporativa y de continuidad de la actividad comercial.
• Demuestra independientemente que se respetan las leyes y normativas que sean de aplicación.
• Proporciona una ventaja competitiva al cumplir los requisitos contractuales y demostrar a los clientes que la seguridad de su información es primordial.
• Verifica independientemente que los riesgos de la organización estén correctamente identificados, evaluados y gestionados al tiempo que formaliza unos procesos, procedimientos y documentación de protección de la información.
• Demuestra el compromiso de la cúpula directiva de su organización con la seguridad de la información.
• El proceso de evaluaciones periódicas ayuda a supervisar continuamente el rendimiento y la mejora.