ISO27001標準要求組織建立和維護一個文件化的信息安全管理系統，其中應闡述需要保護的資產、組織風險管理的渠道、控制目標和方法以及所需的保證程度。
在建立和完善信息安全管理體系時，不同的組織可以根據自己的特點和具體情況采取不同的步驟和方法。但一般來說，建立信息安全管理體系一般要經過以下四個基本步驟:信息安全管理體系的規劃和準備；信息安全管理體系文件的編制；信息安全管理體系的運行；信息安全管理體系的審查和評估。

 

認證過程的詳細步驟如下:
1現場診斷；
二是確定信息安全管理體系的方針、目標；
3明確信息安全管理體系的范圍，根據組織特點、地理位置、資產和技術確定界限；
四是對管理層進行信息安全管理系統基礎知識培訓；
五是信息安全系統內部審核員培訓；
六是建立信息安全管理機構；
實施信息資產評估和分類，識別資產的威脅、薄弱環節和對組織的影響，確定風險程度；
8根據組織的信息安全政策和所需的保障程度，通過風險評估確定應實施管理的風險，確定風險控制手段；
9制定信息安全管理手冊和各種必要的控制程序；

 

制定適用性聲明；
11制定商業可持續發展計劃；
12審核文件，發布實施；
13.系統運行，有效實施所選控制目標和控制方法；
14內部審核；
15外部第一階段認證審核；
16外部第二階段認證審核；
17頒發證書；
系統持續運行/年度監督審核；
19復審(證書三年有效)。

 

對于應該采用哪些控制方法，需要精心規劃，注意控制細節。信息安全管理需要組織中所有員工的參與。例如，為了防止組織外的第三方人員非法進入組織的辦公區域，獲得組織的技術秘密，除了物理控制外，還需要組織所有員工參與，加強控制。此外，還需要供應商、客戶或股東的參與，以及組織以外的專家建議。信息系統和信息網絡是信息、信息處理過程和產。信息的保密性、完整性和可用性對保持競爭優勢、資金流動、效益、法律符合性和商業形象至關重要。

 

目前，越來越多的組織及其信息系統和網絡面臨著計算機欺詐、間諜、故意破壞、火災、洪水等廣泛的安全威脅，如計算機病毒、計算機入侵、DoS攻擊等。組織對信息系統和信息服務的依賴意味著更容易受到安全威脅的破壞。公共和私人網絡的互聯和信息資源的共享增加了訪問控制的難度。

 

很多信息系統本身并不是按照安全系統的要求來設計的，所以僅僅依靠技術手段來實現信息安全有其局限性，因此信息安全的實現必須得到管理和程序控制的適當支持。確定應該采取哪些控制方法需要精心規劃和注意細節。信息安全管理至少需要組織中所有員工的參與，還需要供應商、客戶或股東的參與以及信息安全專家的建議。