ISO / IEC 27001:2005 couvre tous les types d'organisations (par exemple entreprises commerciales, des organismes gouvernementaux, des organisations sans but lucratif non lucratif). ISO / CEI 27001:2005 spécifie les exigences pour établir, mettre en œuvre, l'exploitation, la surveillance, la révision, l'entretien et l'amélioration d'un système d'information documentée gestion de la sécurité dans le contexte des risques de l'organisation générale de l'entreprise. Elle spécifie les exigences pour la mise en œuvre des contrôles de sécurité adaptés aux besoins des différentes organisations ou parties de ceux-ci.

ISO / IEC 27001:2005 est destinée à assurer la sélection des contrôles de sécurité adéquates et proportionnées qui protègent les actifs d'information et de donner confiance aux parties intéressées.
ISO / IEC 27001:2005 est destinée à être adapté à différents types d'utilisation, y compris ce qui suit:

• utiliser au sein des organisations à formuler des exigences et objectifs de sécurité;
• utiliser au sein d'organisations comme un moyen de s'assurer que les risques de sécurité sont gérées de manière rentable;
• utiliser au sein des organisations pour assurer la conformité aux lois et règlements;
• utiliser au sein d'une organisation comme un cadre de processus pour la mise en œuvre et la gestion des contrôles pour s'assurer que les objectifs de sécurité spécifiques d'une organisation sont respectées;
• définition de nouveaux processus d'information de gestion de la sécurité;
• l'identification et la clarification des processus d'information existants de gestion de la sécurité;
• l'utilisation par le management des organisations pour déterminer l'état des activités d'information de gestion de sécurité;
• utiliser par les auditeurs internes et externes de l'organisation de déterminer le degré de conformité avec les politiques, les directives et les normes adoptées par une organisation;
• utiliser par les organisations pour fournir des informations pertinentes sur les politiques de sécurité de l'information, des directives, des normes et des procédures pour les partenaires commerciaux et d'autres organisations avec lesquelles ils interagissent pour des raisons opérationnelles ou commerciales;
• implementation of business-enabling information security;
• Utilisés par les organisations pour fournir de l'information pertinente sur la sécurité des informations aux clients.