ISO27001標(biāo)準(zhǔn)要求組織建立和維護(hù)一個文件化的信息安全管理系統(tǒng)，其中應(yīng)闡述需要保護(hù)的資產(chǎn)、組織風(fēng)險管理的渠道、控制目標(biāo)和方法以及所需的保證程度。
在建立和完善信息安全管理體系時，不同的組織可以根據(jù)自己的特點和具體情況采取不同的步驟和方法。但一般來說，建立信息安全管理體系一般要經(jīng)過以下四個基本步驟:信息安全管理體系的規(guī)劃和準(zhǔn)備；信息安全管理體系文件的編制；信息安全管理體系的運行；信息安全管理體系的審查和評估。

認(rèn)證過程的詳細(xì)步驟如下:
1現(xiàn)場診斷；
二是確定信息安全管理體系的方針、目標(biāo)；
3明確信息安全管理體系的范圍，根據(jù)組織特點、地理位置、資產(chǎn)和技術(shù)確定界限；
四是對管理層進(jìn)行信息安全管理系統(tǒng)基礎(chǔ)知識培訓(xùn)；
五是信息安全系統(tǒng)內(nèi)部審核員培訓(xùn)；
六是建立信息安全管理機(jī)構(gòu)；
實施信息資產(chǎn)評估和分類，識別資產(chǎn)的威脅、薄弱環(huán)節(jié)和對組織的影響，確定風(fēng)險程度；
8根據(jù)組織的信息安全政策和所需的保障程度，通過風(fēng)險評估確定應(yīng)實施管理的風(fēng)險，確定風(fēng)險控制手段；
9制定信息安全管理手冊和各種必要的控制程序；

制定適用性聲明；
11制定商業(yè)可持續(xù)發(fā)展計劃；
12審核文件，發(fā)布實施；
13.系統(tǒng)運行，有效實施所選控制目標(biāo)和控制方法；
14內(nèi)部審核；
15外部第一階段認(rèn)證審核；
16外部第二階段認(rèn)證審核；
17頒發(fā)證書；
系統(tǒng)持續(xù)運行/年度監(jiān)督審核；
19復(fù)審(證書三年有效)。

對于應(yīng)該采用哪些控制方法，需要精心規(guī)劃，注意控制細(xì)節(jié)。信息安全管理需要組織中所有員工的參與。例如，為了防止組織外的第三方人員非法進(jìn)入組織的辦公區(qū)域，獲得組織的技術(shù)秘密，除了物理控制外，還需要組織所有員工參與，加強(qiáng)控制。此外，還需要供應(yīng)商、客戶或股東的參與，以及組織以外的專家建議。信息系統(tǒng)和信息網(wǎng)絡(luò)是信息、信息處理過程和產(chǎn)。信息的保密性、完整性和可用性對保持競爭優(yōu)勢、資金流動、效益、法律符合性和商業(yè)形象至關(guān)重要。

目前，越來越多的組織及其信息系統(tǒng)和網(wǎng)絡(luò)面臨著計算機(jī)欺詐、間諜、故意破壞、火災(zāi)、洪水等廣泛的安全威脅，如計算機(jī)病毒、計算機(jī)入侵、DoS攻擊等。組織對信息系統(tǒng)和信息服務(wù)的依賴意味著更容易受到安全威脅的破壞。公共和私人網(wǎng)絡(luò)的互聯(lián)和信息資源的共享增加了訪問控制的難度。

很多信息系統(tǒng)本身并不是按照安全系統(tǒng)的要求來設(shè)計的，所以僅僅依靠技術(shù)手段來實現(xiàn)信息安全有其局限性，因此信息安全的實現(xiàn)必須得到管理和程序控制的適當(dāng)支持。確定應(yīng)該采取哪些控制方法需要精心規(guī)劃和注意細(xì)節(jié)。信息安全管理至少需要組織中所有員工的參與，還需要供應(yīng)商、客戶或股東的參與以及信息安全專家的建議。