ISO/IEC 27001 强调信息安全方针、风险评估、安全措施和文化建设等，但硬件采购并不是其直接组成部分。