Um dos principais atributos da ISO 27001 é que ela é baseada em riscos. A implementação de controles (medidas técnicas, políticas, processos etc.) não é prescritiva, mas é determinada por uma avaliação de risco da segurança da informação que leva em consideração o apetite de risco e a informação que a organização está procurando proteger. 

A meta com a ISO 27001 é atingir um equilíbrio ideal onde os seus requisitos obrigatórios sejam atendidos, garantindo que o Sistema de Gestão de Segurança da Informação seja adaptado ao tamanho, cultura e objetivos de negócios da sua organização.