A norma 27005 propõe uma metodologia completa para a gestão de riscos de segurança introduzida na norma 27001.

A norma 27002 é composta por 11 seções paralelas às seções presentes na norma 27001.

A proteção de ferramentas de auditoria é um controle cuja prática é descrita na seção sobre conformidade da norma 27002.

Entre as práticas recomendadas para a organização da segurança da informação prescritas pela norma 27002, estão: montagem de uma equipe de tratamento de incidentes, montagem de uma equipe de gestão de riscos, e montagem de uma equipe de auditoria.

Entre as fontes de requisitos de segurança da informação prescritas na norma 27002 e usadas como entrada para o SGSI proposto na norma 27001, encontram-se as seguintes: ferramentas de segurança existentes no mercado, resultados de testes de penetração efetuados na organização, e planejamento estratégico organizacional.