Конфиденциальность – обеспечение доступа к информации только для тех, кто имеет соответствующие полномочия (авторизированные пользователи).
Целостность – обеспечение  достоверности и полноты информации, а также методов ее обработки.
Доступность – обеспечение доступа к информации и связанным с ней активам авторизированным пользователям, по мере необходимости.

В основе любого планирования мероприятий по ИБ должна лежать оценка рисков. Оценка рисков служит тем фундаментом, на котором построена вся структура мероприятий.ISO 27001 обеспечивает механизм для управления рисками компании.

Стандарт ISO 27001 декларирует два основных принципа управления:

1. Процессный подход к управлению безопасностью. Процессный подход рассматривает систему управления как структуру взаимосвязанных процессов.

2. Применение цикла PDCA как основа для всех процедур управления ИБ. Цикл PDCA (или модель Шухарта-Деминга) определяет четыре этапа, которые последовательно должны выполняться при руководстве и совершенствовании процессов.

Положения стандарта описывают такие аспекты, как:

• • Политика безопасности.
  • Организационные методы обеспечения   информационной безопасности.
  • Управление ресурсами (активы).
  • Пользователи информационной системы.
  • Физическая безопасность.
  • Управление коммуникациями и процессами.
  • Управление доступом.
  • Приобретение, разработка и сопровождение информационных систем.
  • Управление инцидентами информационной безопасности.
  • Управление непрерывностью бизнеса.

Стандарт ISO 27001 гармонизирован со стандартами систем менеджмента качества ISO 9001 и ISO 14001 и базируется на их основных принципах.

Система управления информационной безопасностью на основе стандарта ISO 27001 позволяет:

• • Сделать большинство информационных активов наиболее понятными для менеджмента компании
  • Выявлять основные угрозы безопасности для существующих бизнес-процессов
  • Рассчитывать риски и принимать решения на основе бизнес-целей компании
  • Обеспечить эффективное управление системой в критичных ситуациях
  • Проводить процесс выполнения политики безопасности (находить и исправлять слабые места в системе информационной безопасности).
  • Четко определить личную ответственность.
  • Достигнуть снижения и оптимизации стоимости поддержки системы безопасности.
  • Облегчить интеграцию подсистемы безопасности в бизнес-процессы и интеграцию с ISO 9001.
  • Продемонстрировать клиентам, партнерам, владельцам бизнеса свою приверженность к информационной безопасности.
  • Получить международное признание и повышение авторитета компании, как на внутреннем рынке, так и на внешних рынках.
  • Подчеркнуть прозрачность и чистоту бизнеса перед законом благодаря соответствию стандарту.