ISO 27001 обеспечивает риско-ориентированный подход к управлению информационной безопасностью через цикл PDCA. На этапе Plan определяется подход по управлению рисками, проводится идентификация, анализ и оценка рисков. На этапе Do идентифицируются и оцениваются возможные способы снижения рисков, выбираются надлежащие контроли безопасности или меры по снижению рисков в ответ на идентифицированные риски и угрозы, оценивается экономическая эффективность и целесообразность реализации контролей, и они внедряются. На этапе Check проводится мониторинг и оценка системы управления ИБ, включая аудиты и расследование инцидентов. На этапе Act планируются новые мероприятия по управлению ИБ на основании результатов мониторинга и аудитов. Таким образом, вся система управления ИБ строится вокруг идентификации, оценки и обработки рисков, что и является риско-ориентированным подходом.