يناسب البنوك وشركات الاتصالات وشركات البرمجيات وموفري خدمات الاستعانة بالمصادر الخارجية وأي منظمة تحتفظ ببيانات العملاء أو البيانات الشخصية. غالباً ما يطلبها العملاء والمناقصات.

• تقييم الفجوات يقارن الممارسة الحالية مع المتطلبات.
• توافق الإدارة العليا على النطاق والسياسة والأهداف.
• يتم تقييم مخاطر المعلومات واختيار الضوابط من الملحق أ، المدرجة في بيان قابلية التطبيق.
• تعمل العمليات لفترة كافية لإنتاج أدلة للمدقق.
• يتم إكمال التدقيق الداخلي ومراجعة الإدارة.
• المرحلة 1 والمرحلة 2 التدقيق من قبل الهيئة المانحة للشهادة تؤدي إلى الشهادة.

عدد الموظفين وعدد المواقع ونطاق النظام يحددون معظم التكاليف. الممارسة الموجودة مهمة، لأن كل فجوة تتطلب وقت الموظفين والدعم الخارجي للإغلاق. يتم تحديد أيام التدقيق من قبل هيئة التصديق بناءً على عدد الموظفين والتعقيد وفقاً لقواعد الاعتماد. عدد الأنظمة والمواقع والخدمات المستعانة بها في النطاق يزيد من الجهد المطلوب. تتابع تدقيقات المراقبة في كل من السنتين التاليتين للتصديق.

يعتمد الوقت على الحجم والنطاق والجاهزية. غالباً ما تنهي المنظمات الصغيرة ذات الممارسات السليمة العملية في أربعة إلى ستة أشهر. عادة ما تحتاج المنظمات الأكبر أو متعددة المواقع إلى تسعة إلى اثني عشر شهراً. تسري الشهادة لمدة ثلاث سنوات قبل إعادة الشهادة.

تُصدِر الشهادات هيئات شهادات معتمدة لدى ISO/IEC 17021-1. يكون المنفذ والمدقّق لديك دائماً مختلفين، بحيث يبقى التدقيق مستقلاً.