控管风险。此作法的目的是让风险评估更简单，也对组织更有意义，有助组织建议有关风险以及控管的正确所有权概念。附录中有114个控制，分为14群，35个控制分类。2005年的版本有133个控制，分为11个群。控制方式反映了许多组织相关技术的变化，例如云端运算，不过如上所述，仍有可能在不使用上述控制方式的情形下通过ISO/IEC 27001:2013认证。