La norme ISO 27001 impose une approche par la gestion des risques sous la forme d'un système de management de la sécurité de l'information mais est peu précise. La norme 27005 propose une méthodologie structurée et normalisée et s'applique à tout type de situation. Elle tient compte de la gestion des risques dans la durée, et aussi au quotidien. La direction générale a des responsabilités.