Los equipos de seguridad la utilizan al implementar controles de ISO/IEC 27001. Los auditores también la utilizan para entender cómo debe funcionar un control.

• La práctica actual se compara con la guía.
• La dirección acuerda qué partes aplican y quién es responsable de ellas.
• Las prácticas se adoptan en políticas, procedimientos y capacitación.
• Los resultados se revisan después de un período establecido y se ajustan.

El costo corresponde principalmente al tiempo del personal y a cualquier apoyo externo. El número de procesos y equipos involucrados determina el esfuerzo. No se aplican tarifas de certificación, ya que no se emite ningún certificado.

La mayoría de las organizaciones lo adoptan por fases a lo largo de varios meses. Puede llevarse a cabo junto con el trabajo en una norma certificable.

ISO/IEC 27002 es una guía, por lo que no se emiten certificados acreditados en relación con ella. La certificación se busca frente a ISO/IEC 27001, a la cual respalda.