ISO/IEC 27000系列标准（又名ISO/IEC 27000 标准系列，即“信息安全管理系统标准族”，简称“ISO27K”） 是由国际标准化组织（ISO）及国际电工委员会（IEC）联合定制。该标准系列由实践所得并提出对于信息安全管理的建议，并对信息安全管理系统领域中的风险进行管控。ISO/IEC 27000可以作为评估组织满足客户、组织本身以及法律法规所确定的信息安全要求的能力的依据。

 针对ISO/IEC 27000体系的认证，是对组织信息安全管理体系（ISMS）符合ISO/IEC 27000 要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了ISMS，并且符合ISO/IEC 27000标准的要求。

ISO27000是一种体系认证机构，也称为信息安全管理体系(ISMS)。它的目的是通过制定一套严格的规则和流程，来保护企业的信息资产。ISO27000由国际标准化组织(ISO)制定，并以“ISO/IEC27001:2013”形式发布，旨在使企业集中所有相关法律、法规和标准要求。

ISO27000体系认证机构通过对企业信息安全风险进行识别、评估、监测和控制，以便能够应对数字化时代带来的各种不断变化的安全性问题。此外，该体系还能够帮助企业明确其内部信息安全方针和标准，并根据不断变化的情况作出必要的调整。

此外，ISO27000体系认证机构可以帮助企业逐步开发、执行和监测其内部信息安全方针、测量已采用方法的成功水平以及识别存在风险或已存在风险之前采取补救、避免或人员对如何处理特定风险所产生影响所采取之补救。本体系吸引了一大批跟随者：IT服务供应商、零售商、电子商务供应商以及互联网上竞争者都将透过ISO27000进行核心IT技能的协作开始介入IT中心。

在ISO27000 PDCA计划的四个阶段中，

组织应当：定义ISMS的范围和政策；定义风险评估的系统方法；

识别风险；应用组织确定的系统方法来评估风险；

识别和评估备选的风险管理方法；

选择控制目标和控制模式；在决定接受剩余风险时，要征得经理的同意，得到经理的授权，才能开始运行信息安全管理体系。在实施阶段，组织应当实施选择性控制，包括：实施具体的管理程序；

实现选定的控件；运作管理；

实施有助于检测和响应安全事件的程序和其他控制措施。在检查阶段，组织应：实施程序以检测错误和违反策略的情况；定期检查ISMS的有效性；

审查剩余风险和可接受风险的水平；

实施管理程序，以确定规定的安全程序是否适当，是否符合标准，是否按照预期目的工作；

定期对ISMS进行正式评审，以确保范围足够，并确定和实施ISMS流程的持续改进；记录和报告所有活动和事件。在改进措施阶段，

组织应：测量ISMS性能；确定ISMS的改进措施并有效实施；采取适当的纠正措施；与所有相关方协商、沟通结果和措施；如有必要，修改ISMS，以确保修改达到既定目标。

一、策划阶段，组织应：

定义ISMS的范围和方针； 

定义风险评估的系统性方法； 

识别风险； 

应用组织确定的系统性方法评估风险； 

识别并评估可选的风险处理方式； 

选择控制目标与控制方式； 

当决定接受剩余风险时应获得管理者同意，并获得管理者授权开始运行 信息安全管理体系。 

二、实施阶段，组织应该实施选择的控制，包括： 

实施特定的管理程序； 

实施所选择的控制； 

运作管理； 

实施能够促进安全事件检测和响应的程序和其他控制。 

三、检查阶段，组织应： 

执行程序，检测错误和违背方针的行为 ； 

定期评审ISMS的有效性； 

评审剩余风险和可接受风险的等级； 

执行管理程序以确定规定的安全程序是否适当，是否符合标准，以及是 否按照预期的目的进行工作；

 
定期对ISMS进行正式评审，以确保范围保持充分性，以及ISMS过程的持续改进得到识别并实施； 
记录并 报告所有活动和事件。 

四、改进措施阶段，组织应： 

测量ISMS绩效； 

识别ISMS的改进措施，并有效实施； 

采取适当的纠正和预防措施； 

与涉及到的所有相关方磋商、沟通结果及其措施； 

必要时修改ISMS，确保修改达到既定的目标。