L’obiettivo principale è quello di stabilire un sistema per la gestione del rischio e la protezione delle informazioni. Di assoluta rilevanza risultano i controlli a cui l’organizzazione deve sottoporsi; nell’allegato A sono previsti ben 133 tipologie di controlli da rispettare.
La norma ISO 27001, che ricorda per certi versi il dispositivo della legge sulla Privacy, se ne differenzia sostanzialmente per i seguenti motivi:
la legge sulla privacy tutela dati personali, sensibili e non, mentre la ISO 27001 pur richiedendo che ciò sia fatto, s’interessa anche dei dati di business dell’organizzazione che devono essere salvaguardati per l’interesse stesso dell’organizzazione.