Przedsiębiorstwa, które uzyskały certyfikat zgodności z ISO/IEC 27001:2005 muszą podjąć działania na rzecz spełnienia nowych wymagań. Mimo, że norma została opublikowana w 2013 r., w Polsce dotychczas niewiele organizacji zdecydowało się na zmiany.

Zmiany wprowadzone przez nowelizację można zakwalifikować do trzech grup. Pierwszą grupę stanowią zmiany istotnie wpływające na ideę funkcjonowania systemu. Zaliczyć do nich można:

Rosnące znaczenie bezpieczeństwa informacji skłania przedsiębiorstwa do poszukiwania sposobów zabezpieczenia danych własnych, jak i powierzonych przez klientów. Początkowe nastawienie na zabezpieczenia informatyczne i techniczne okazało się niewystarczające wobec stwierdzenia prób wykorzystania słabości organizacyjnych dla wyłudzenia informacji.

Procedura przygotowania i wdrożenia systemu zarządzania bezpieczeństwem informacji została opisana w punktach 4.2 i 4.3 normy ISO 27001. Składa się ona z następujących kroków:

W świetle problemów zarządzania bezpieczeństwem wiedzy, niezbędne staje się więc znalezienie modelu zabezpieczeń, który nie będzie kolidował z dzieleniem się wiedzą. Model taki jest możliwy i już dziś osiągalny, jednak bardzo ryzykowny dla organizacji działających komercyjnie. Y. Awazu i K. C. Desouza (2004, s. 1016) zauważyli, że społeczność skupiona wokół idei otwartego oprogramowania (ang. open-source software,OSS, dawniej free software), spełnia zasady organizacji opartej na wiedzy, w której nie występują blokady dzielenia się wiedzą.

Duże organizacje coraz częściej doceniają porządek w dokumentach, regularne wykonywanie kopii bezpieczeństwa oraz stosowanie wewnętrznej polityki bezpieczeństwa. W małych i średnich firmach często panuje bałagan w dokumentacji. Dzieje się tak dlatego, że danych jest na tyle mało, że pracownicy i kierownictwo są w stanie w (wydaje się) krótkim czasie odnaleźć lub odtworzyć każdą informację. Jednak małe firmy rosną. Na pewnym etapie rozwoju czas odnalezienia dokumentów staje się zbyt długi. Dodatkowo duża rotacja pracowników powoduje, że szef nie może skorzystać z pamięci podwładnych. Na tym etapie wiele małych firm się rozpada.

System zarządzania bezpieczeństwem informacji obejmuje swoim zakresem tworzenie polityki bezpieczeństwa na poziomie strategicznym, szacowanie ryzyka wystąpienia zagrożeń, określanie i wdrażanie zabezpieczeń służących wyeliminowaniu tych zagrożeń, a także monitorowanie systemu za pomocą audytów wewnętrznych i przeglądu zarządzania. Znalazł on odzwierciedlenie w strukturze normy ISO 27001:2005, która składa się z dziewięciu rozdziałów.