ISO27001適用于所有類型的組織（如企業、政府機構和非營利組織）。

ISO27001從組織整體業務風險的角度規定了建立、實施、運營、監控、評估、維護和改進文件的ISMS要求。

它規定了為滿足不同組織及其下屬部門的需要而定制的安全控制措施的實施要求。當標準中的任何要求因組織及其業務特點而不適用時，都可以考慮刪除。

如有刪除，除非該刪除不影響組織提供信息安全，以滿足風險評估和適用法律法規的要求和責任，否則不能聲稱符合ISO27001標準。