Die internationale Norm ISO/IEC 27002 ist Teil der ISO-27000-Normenreihe und geht auf den British Standard BS7799 zurück. Im Jahr 2000 wurde der Standard vom Joint Technical Committee JTC1 der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) in die Norm ISO/IEC 17799 überführt, 2005 überarbeitet und 2007 als ISO/IEC 27002 in die ISO-27000-Normenreihe integriert. Der offizielle Titel lautet „Information technology — Security techniques — Code of practice for information security management“.
Die ISO 27002 greift die Sicherheitsmaßnahmen auf, die in der ISO 27001, Anhang A, definiert werden, und spezifiziert diese. Somit dient die ISO 27002 als ergänzender Leitfaden für die praktische Umsetzung von Maßnahmen im Rahmen des Information Security Management Systems (ISMS) nach ISO 27001. Da es sich bei der ISO 27002 um einen ergänzenden Standard handelt, ist eine Zertifizierung nicht möglich.