ISO27001標(biāo)準(zhǔn)要求組織建立和維護(hù)一個(gè)文件化的信息安全管理系統(tǒng)，其中應(yīng)闡述需要保護(hù)的資產(chǎn)、組織風(fēng)險(xiǎn)管理的渠道、控制目標(biāo)和方法以及所需的保證程度。
在建立和完善信息安全管理體系時(shí)，不同的組織可以根據(jù)自己的特點(diǎn)和具體情況采取不同的步驟和方法。但一般來(lái)說(shuō)，建立信息安全管理體系一般要經(jīng)過(guò)以下四個(gè)基本步驟:信息安全管理體系的規(guī)劃和準(zhǔn)備；信息安全管理體系文件的編制；信息安全管理體系的運(yùn)行；信息安全管理體系的審查和評(píng)估。

認(rèn)證過(guò)程的詳細(xì)步驟如下:
1現(xiàn)場(chǎng)診斷；
二是確定信息安全管理體系的方針、目標(biāo)；
3明確信息安全管理體系的范圍，根據(jù)組織特點(diǎn)、地理位置、資產(chǎn)和技術(shù)確定界限；
四是對(duì)管理層進(jìn)行信息安全管理系統(tǒng)基礎(chǔ)知識(shí)培訓(xùn)；
五是信息安全系統(tǒng)內(nèi)部審核員培訓(xùn)；
六是建立信息安全管理機(jī)構(gòu)；
實(shí)施信息資產(chǎn)評(píng)估和分類(lèi)，識(shí)別資產(chǎn)的威脅、薄弱環(huán)節(jié)和對(duì)組織的影響，確定風(fēng)險(xiǎn)程度；
8根據(jù)組織的信息安全政策和所需的保障程度，通過(guò)風(fēng)險(xiǎn)評(píng)估確定應(yīng)實(shí)施管理的風(fēng)險(xiǎn)，確定風(fēng)險(xiǎn)控制手段；
9制定信息安全管理手冊(cè)和各種必要的控制程序；

制定適用性聲明；
11制定商業(yè)可持續(xù)發(fā)展計(jì)劃；
12審核文件，發(fā)布實(shí)施；
13.系統(tǒng)運(yùn)行，有效實(shí)施所選控制目標(biāo)和控制方法；
14內(nèi)部審核；
15外部第一階段認(rèn)證審核；
16外部第二階段認(rèn)證審核；
17頒發(fā)證書(shū)；
系統(tǒng)持續(xù)運(yùn)行/年度監(jiān)督審核；
19復(fù)審(證書(shū)三年有效)。

對(duì)于應(yīng)該采用哪些控制方法，需要精心規(guī)劃，注意控制細(xì)節(jié)。信息安全管理需要組織中所有員工的參與。例如，為了防止組織外的第三方人員非法進(jìn)入組織的辦公區(qū)域，獲得組織的技術(shù)秘密，除了物理控制外，還需要組織所有員工參與，加強(qiáng)控制。此外，還需要供應(yīng)商、客戶(hù)或股東的參與，以及組織以外的專(zhuān)家建議。信息系統(tǒng)和信息網(wǎng)絡(luò)是信息、信息處理過(guò)程和產(chǎn)。信息的保密性、完整性和可用性對(duì)保持競(jìng)爭(zhēng)優(yōu)勢(shì)、資金流動(dòng)、效益、法律符合性和商業(yè)形象至關(guān)重要。

目前，越來(lái)越多的組織及其信息系統(tǒng)和網(wǎng)絡(luò)面臨著計(jì)算機(jī)欺詐、間諜、故意破壞、火災(zāi)、洪水等廣泛的安全威脅，如計(jì)算機(jī)病毒、計(jì)算機(jī)入侵、DoS攻擊等。組織對(duì)信息系統(tǒng)和信息服務(wù)的依賴(lài)意味著更容易受到安全威脅的破壞。公共和私人網(wǎng)絡(luò)的互聯(lián)和信息資源的共享增加了訪(fǎng)問(wèn)控制的難度。

很多信息系統(tǒng)本身并不是按照安全系統(tǒng)的要求來(lái)設(shè)計(jì)的，所以?xún)H僅依靠技術(shù)手段來(lái)實(shí)現(xiàn)信息安全有其局限性，因此信息安全的實(shí)現(xiàn)必須得到管理和程序控制的適當(dāng)支持。確定應(yīng)該采取哪些控制方法需要精心規(guī)劃和注意細(xì)節(jié)。信息安全管理至少需要組織中所有員工的參與，還需要供應(yīng)商、客戶(hù)或股東的參與以及信息安全專(zhuān)家的建議。