实施ISO 27001认可的ISMS是影响整个组织的事情。范围和政策声明的清晰划分是到明确要求了的。对范围内的例外情况需要记录下辩护的理由，而政策应适用于整个组织。
该标准还明确表示，ISMS的设计应以满足组织的需要，并应以满足并不断满足这些需要的方式进行实施和管理。
管理指导
本标准要求管理层应“必要传达给组织符合信息安全目标与遵守信息安全政策的重要性。”这些要求在ISMS标准的后续版本越来越得到加强，因为事实越来越清楚地表明：没有这些管理方面的支持和指导，设计并建立ISMS是很难的。
ISMS的战略性质，在标准4.1章节中有明确的规定要求，它声明“组织应建立、实施、运作、监督、审查、维持和改善一个可记录的ISMS，以应对该组织在整体商业活动环境中所面临的风险。”组织针对风险处理的总体方针设定应同本标准的风险评估策略相一致。
管理层的责任是非常重要的，第5条全专门设置了详细的规定，要求管理层“应当提供其承诺的建立、实施、运作、监督、审查、维持和改进ISMS的证据。”
提供管理层承诺的证据
ISO 27001认证审核员希望看到表明这一条款的要求得到了满足的证据。通常的做法是通过和首席执行官或其他对整体业务负责的执行人员进行面谈，以及审查记录 （这些记录如会议记录，议程表等，其中就包含管理层对政策进行了辩论、达成了一致协议、进行了检查和并且测定了改进目标）。至关重要的是，管理层必须决定 可接受风险的准则和水平，这是一个关键步骤，没有它的话，从整个ISMS的制定到部署控制所依据的风险评估过程不能得到进行。
管理相关的控制措施
附录A特定指出管理参与的一些控制措施。它们的详细编号如下：
* A.5.1.1 信息安全策略文档，必需得到管理层的批准
* A.6.1.1 对信息安全的管理承诺; 管理部门必须通过“指明方向，明确承诺，明确任务，以及承担信息安全责任”来积极地支持。承诺的主要表现包括：信息安全政策，建立和扩展ISO 27001项目组，协调信息安全的活动，以及分配信息安全的责任。
* A.6.1.4 授权信息处理设施的流程；其中一定要有一个管理程序，以授权新的信息处理设施
* A.8.2.1 管理责任；这项控制规定管理层 “应要求员工，承包商和第三方用户遵守和应用组织既定的安全政策和程序。”
* A.10.1.3 职责分离；在考虑责任的分配时必须考虑这项重要的要求
* A.11.2.4 进行用户访问权限审查；这个控制要求管理层应当使用正式的程序定期审查用户的访问权限
* A.15.1.2 对信息安全策略和标准的遵从；这项控制明确从各个管理层级延伸管理职责，要求管理人员“确保在其责任区内的所有安全程序得到正确地执行，以实现对安全政策和标准的遵从。”
管理评审的要求
除了控制要求，标准在第7条（ISMS的管理审查）中提到，“管理层应该在计划的时间间隔内，审查组织的ISMS，以确保其持续活动的适宜性，充分性和有效性。”这一节清楚地界定了所需的（至少每年一次的）输入审查过程；以及包括从所有组织的监督和审查活动中得到的产出。
管理审查的输出应形成文件，并应得到贯彻执行，它应带来稳定和持续不断的ISMS改善。一个经过ISO 27001认证的ISMS在认证有效期内将定期得到审查，这些审查将集中考察组织和它的管理层如何推动了持续改进的过程。