Die Einhaltung der ISO -27001-Norm ist nicht allgemein vorgeschrieben. Stattdessen muss ein Unternehmen Aktivitäten durchführen, die es bei seiner Entscheidung über die Einführung von Informationssicherheitssystemen – Management, Betrieb und physische Maßnahmen – unterstützen. Ein Beispiel für solche Bemühungen ist die Bewertung der Integration der aktuellen Authentifizierungs- und Passwortverwaltung, der Autorisierungs- und Rollenverwaltung sowie der Kryptographie und der Verwaltung von Schlüsseldaten.