ISO 27001提供了由一个认证机构对一个组织的信息安全管理体系进行独立审计和认证的规范。如果信息安全管理体系被认为符合规范要求，组织可以被发放正式的证书以确认之。
认证机构
认证是由独立的，可信的认证机构进行的。它们在不同的国家有不同的叫法，包括’注册机构’，’评估和登记机关’，’认证/注册中心’和’登记司’等等。无论他们被如何称呼，他们都在做同样的事情，并接受同样的要求。
经认可的认证机构是一个已经证明xx符合任何国际和国家标准规定的认证机构。
认证流程
对于已经通过ISO 9000或任何其他管理体系标准认证的任何组织，该认证流程将会非常熟悉。
认证机构将分两个阶段发起审核流程。{dy}阶段将进行文件的审查（可能包括也可能不包括预认证的访问），这将使审计人员进行首次实际的正式访问以便能：
熟悉该组织机构；
对文件进行审查；
确保ISMS得到了足够的开发，已经能够接受正式的审计；
获取足够的关于该组织的信息，以及认证的目的和范围，以便有效地准备他们的审计。
这次访问是通常时间比较短，取决于组织的规模，可能只需要一两天。在作出访问之前，一些组织将开展远程文件审查。
正式审计
正式的审计，通常被称为’初审’，将花上数天时间。审计过程包括测试组织的（信息安全管理体系ISMS）文档流程以和标准的要求进行比较，以确认该组织已制订出符合标准要求的文档体系，然后再测试组织对ISMS的实际遵从情况。
审计工作将遵循一个预先设定的计划。审计人员将与他们进行沟通，包括和组织中的哪些人以及用什么顺序与他们面谈。
审计报告
认证审核将使用负面报道（也就是说，它会找出不足之处，而不是光辉点），以评估ISMS确保该组织的程序和流程，该组织的实际活动和执行的记录符合ISO 27001的要求，并且给出申报的系统的范围。审计的结果将是：
*书面审计报告（通常可在审计完成时交付）
*不符合项纠正措施和意见
*商定的纠正措施和时限
不符合项可以是轻微的或严重的;轻微的不符合项将被作为主要的改进机会，严重的不符合项将意味着该组织并不会（在这个阶段）成功地获得认证。通常，当一个严重的不符合项被发现出来时，审计人员会建议，审计过程暂停，以便该组织使用足够的时间解决这个严重问题之后再重新开始。
审计输出结果
访问的预期结果应当是组织的ISMS通过了ISO 27001的认证和证书的效果问题。该证书应得到适当的展示，组织应该开始准备应对它的{dy}次监督访问，它将在约6个月后进行。
任何轻微的不符合项应该得到解决，并由邮件告知，所有证书的发放将依赖在事前商定的时间表内的整改情况。
审计监督将在审计后进行，既要确保他们不会发展成为不符合项，也要作为该组织持续改进活动的一部分。
正式批准的认证标志可以被组织用来当做营销材料。
