颁发ISO27001信息安全管理体系证书的认证机构必需是经过CNCA国家认证监督委员会（认监委）授权的认证机构方可在国内进行审核发证，所有通过认证且合法的证书均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可，也是不符合中国的法律法规的，视为违规操作，被发现将会被CNCA处罚并公示证书在国内无效。经CNCA授权的认证机构可以在CNCA网站上查询[5] 。
关于认证机构与认可机构
认证，认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动。认证机构，是经国家认证认可监督管理委员会(CNCA)批准可以在中国境内合法开展管理体系认证和产品认证的专业机构。就是说取得此项认证资质的企业或单位才可以进行审核活动。比如BSI，DNV，北京新世纪认证有限公司，华夏认证中心有限公司等等，他们属于认证机构。认证机构是经CNCA授权的，认可机构管理认证机构。
认可，是正式表明合格评定机构具备实施特定合格评定工作能力的第三方证明。通俗地讲，认可是指认可机构按照相关国际标准或国家标准，对从事认证、检测和检查等活动的合格评定机构实施评审，证实其满足相关标准要求，进一步证明其具有从事认证、检测和检查等活动的技术能力和管理能力，并颁发认可证书。中国的认可机构是CNAS，英国的认可机构是UKAS，美国的认可机构是ANAB。
获得CNAS认可的认证机构名录如下：中国质量认证中心，上海质量体系审核中心，北京赛西认证有限责任公司，广州赛宝认证中心服务有限公司 ，北京新世纪认证有限公司，华夏认证中心有限公司，中国信息安全认证中心，上海挪华威认证有限公司
注：一般说来，证书是由认证机构颁发，认证机构要得到认可机构的授权，认可机构要得到认监委（CNCA）的授权，因此在中国的认证最高管理单位是CNCA。但是有些认证机构经CNCA备案授权，并没有获得CNAS的认可，这样在国内开展被授权的审核业务也是可以的。
国际认证
APM Group(APMG) 代表英国商务部（OGC）在全球进行ISO 27001 Foundation、PRINCE2、P3O-Portfolio, Program and Project Offices、 MSP、M_o_R和ITIL的资质认证工作。业务遍布全球，分别在英国、美国、荷兰、丹麦、澳大利亚和中国设有分公司。APMG中国是英国APMG公司在中国的全资机构及唯一代表机构。
主要内容
标准的主要内容
ISO/IEC17799-2000（BS7799-1）对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础，并为组织之间的交往提供信任。
标准指出“象其他重要业务资产一样，信息也是一种资产”。它对一个组织具有价值，因此需要加以合适地保护。信息安全防止信息受到的各种威胁，以确保业务连续性，使业务受到损害的风险减至最小，使投资回报和业务机会最大。
内容章节
ISO/IEC17799-2000包含了127个安全控制措施来帮助组织识别在运做过程中对信息安全有影响的元素，组织可以根据适用的法律法规和章程加以选择和使用，或者增加其他附加控制。国际标准化组织（ISO）在2005年对ISO 17799进行了修订，修订后的标准作为ISO 27000标准族的第一部分——ISO/IEC 27001，新标准去掉9点控制措施，新增17点控制措施，并重组部分控制措施而新增一章，重组部分控制措施，关联性逻辑性更好，更适合应用；并修改了部分控制措施措辞。修改后的标准包括11个章节：
1）安全策略。指定信息安全方针，为信息安全提供管理指引和支持，并定期评审。
2）信息安全的组织。建立信息安全管理组织体系，在内部开展和控制信息安全的实施。
3）资产管理。核查所有信息资产，做好信息分类，确保信息资产受到适当程度的保护。
4）人力资源安全。确保所有员工，合同方和第三方了解信息安全威胁和相关事宜以及各自的责任，义务，以减少人为差错，盗窃，欺诈或误用设施的风险。
5）物理和环境安全。定义安全区域，防止对办公场所和信息的未授权访问，破坏和干扰；保护设备的安全，防止信息资产的丢失，损坏或被盗，以及对企业业务的干扰；同时，还要做好一般控制，防止信息和信息处理设施的损坏和被盗。
6）通信和操作管理。制定操作规程和职责，确保信息处理设施的正确和安全操作；建立系统规划和验收准则，将系统失效的风险降到最低；防范恶意代码和移动代码，保护软件和信息的完整性；做好信息备份和网络安全管理，确保信息在网络中的安全，确保其支持性基础设施得到保护；建立媒体处置和安全的规程，防止资产损坏和业务活动的中断；防止信息和软件在组织之间交换时丢失，修改或误用。
7）访问控制。制定访问控制策略，避免信息系统的非授权访问，并让用户了解其职责和义务，包括网络访问控制，操作系统访问控制，应用系统和信息访问控制，监视系统访问和使用，定期检测未授权的活动；当使用移动办公和远程控制时，也要确保信息安全。
8）系统采集、开发和维护。标示系统的安全要求，确保安全成为信息系统的内置部分，控制应用系统的安全，防止应用系统中用户数据的丢失，被修改或误用；通过加密手段保护信息的保密性，真实性和完整性；控制对系统文件的访问，确保系统文档，源程序代码的安全；严格控制开发和支持过程，维护应用系统软件和信息安全。
9）信息安全事故管理。报告信息安全事件和弱点，及时采取纠正措施，确保使用持续有效的方法管理信息安全事故，并确保及时修复。
10）业务连续性管理。目的是为减少业务活动的中断，是关键业务过程免受主要故障或天灾的影响，并确保及时恢复。
11）符合性。信息系统的设计，操作，使用过程和管理要符合法律法规的要求，符合组织安全方针和标准，还要控制系统审计，使信息审核过程的效力最大化，干扰最小化。
