一、專案前期準備階段

目的：充分體現領導作用和全員參與的原則，確保各個層面意識到資訊保安管理體系的必要性和管理層的決心

二、現場調研診斷

目的：瞭解組織的現狀，尋找與ISO27001標準的差距

三、人員培訓

目的：提升各級領導和全員的資訊保安意識，使內審員具備相應能力

四、整合體系檔案架設計

目的：策劃覆蓋各個業務流程的系統的檔案化程式。

五、確定資訊保安方針和目標

目的：明確資訊保安方針和目標，為資訊保安管理體系提供導向。

六、建立管理組織機構

目的：建立完善的內控組織架構，為整合體系提供支援。

七、資訊保安風險評估

目的：實施風險評估，識別不可接受風險，明確管理目標；

八、資訊保安管理體系檔案編寫

目的：建立檔案化的資訊保安管理體系。

九、資訊保安管理體系記錄的設計

十、資訊保安管理體系檔案稽核

目的：確保ISMS資訊保安管理體系檔案的系統性、有效性和效率。

十一、資訊保安體系檔案釋出實施

目的：釋出ISMS資訊保安管理體系檔案，落實管理要求。

十二、組織全員進行檔案學習

目的：確保資訊保安管理體系檔案要求在各個層級、各個崗位均得到有效的溝通和理解。

十三、業務連續性管理

目的：確保在任何情況下，核心業務均可保持提供連續提供服務的能力。

十四、稽核培訓及內審

目的：實施內部稽核，發現資訊保安管理體系執行中的不符合，尋找改進的機會。

十五、管理體系有效性測量

目的：根據量化指標，測量資訊保安管理體系的有效性。

十六、管理評審

目的：將體系執行過程中的成效和問題向管理層彙報，由最高管理者提出改進的要求和資源的支援。

十七、認證機構正式稽核

目的：由第三方權威機構稽核資訊保安管理體系的有效性。

十八、

iso27001認證流程：http://www.stxrz.com/iso27001/1945.html