ISO27001認證體系建設分為四個階段：實施風險評估、規劃體系建設方案、建立信息管理 體系、體系運行及改進。也符合信息管理循環PDCA(Plan-Do-Check-Action)模型及ISO27001要求， 即有效地保護企業信息系統的，確保信息的持續發展。 　　1、確立范圍 　　首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮 內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等;外部機構：則包括 公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。 　　從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機 系統正常運行的設施。包括機房環境、門禁、監控等;網絡系統：構成信息系統網絡傳輸環境的線路介質 ，設備和軟件;服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫 、中間件和Web系統等軟件平臺系統;應用系統：支撐業務、辦公和管理應用的應用系統;數據：整個信息 系統中傳輸以及存儲的數據;管理：包括策略、規章制度、人員組織、開發、項目管理 和系統管理人員在日常運維過程中的合規、審計等。 　　2、風險評估 　　企業信息是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供、可信的服 務，保證信息系統的可用性、完整性和保密性。 　　本次進行的評估，主要包括兩方面的內容： 　　2.1、企業管理類的評估 　　通過企業的控制現狀調查、訪談、文檔研讀和ISO27001的 實踐比對，以及在行業的經驗上 進行“差距分析”，檢查企業在控制層面上存在的弱點，從而為措施的選擇提供依據。 　　評估內容包括ISO27001所涵蓋的與信息管理體系相關的11個方面，包括信息策略、組 織、資產分類與控制、人員、物理和環境、通信和操作管理、訪問控制、系統開發與維護、安 全事件管理、業務連續性管理、符合性。 　　2.2、企業技術類評估 　　基于資產等級的分類，通過對信息設備進行的掃描、設備的配置，檢查分析現有網絡 設備、服務器系統、終端、網絡架構的現狀和存在的弱點，為加固提供依據。 　　針對企業具有代表性的關鍵應用進行評估。關鍵應用的評估方式采用滲透測試的方法，在應用 評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的目標之間的差距，為后期改造提 供依據。 　　提到評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點 ，同時結合企業自身的特點，建立風險評估模型： 　　在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信 息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威 脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬 性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。 　　3、規劃體系建設方案 　　企業信息問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息體系 ，并終落實到管理措施和技術措施，才能確保信息。 　　規劃體系建設方案是在風險評估的基礎上，對企業中存在的風險提出建議，增強系統的安 全性和抗攻擊性。 　　在未來1-2年內通過信息體系制的建立與實施，建立組織，技術上進行審計、內外網隔 離的改造、產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息體系 和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，為主，防治結合 的先進型企業。 　　4、企業信息體系建設 　　企業信息體系建立在信息模型與企業信息化的基礎上，建立信息管理體系核心可以更 好的發揮六方面的能力：即預警(Warn)、保護(Protect)、檢測(Detect)、反應(Response)、恢復 (Recover)和反擊(Counter-attack)，體系應該兼顧攘外和安內的功能。 　　體系的建設一是涉及管理制度建設完善;二是涉及到信息技術。首先，針對管理制 度涉及的主要內容包括企業信息系統的總體方針、技術策略和管理策略等。總體方針 涉及組織機構、管理制度、人員管理、運行維護等方面的制度。技術策略涉 及信息域的劃分、業務應用的等級、保護思路、說以及進一步的統一管理、系統分級、網絡互 聯、容災備份、集中監控等方面的要求。 　　其次，信息技術按其所在的信息系統層次可劃分為物理技術、網絡技術、系統技 術、應用技術，以及基礎設施平臺;同時按照技術所提供的功能又可劃分為保護類、檢 測跟蹤類和響應恢復類三大類技術。結合主流的技術以及未來信息系統發展的要求，規劃信息 技術包括：

組織在績效評價上需要關注的部分有合規性評價、內部審核、管理評審等方面的要求。需要監視和測量的內容包括滿足法律法規要求和其他要求的程度；與所辨識的危險源、風險和機遇相關的活動和運行；實現組織職業目標的進展情況；運行控制和其他控制的有效性；適用時，為確保結果有效而所采用的監視、測量、分析和評價績效的方法；組織評價其職業績效所依據的準則；何時應實施監視和測量；何時應分析、評價和溝通監視測量的結果。組織應保留適當的文件化信息作為監視、測量、分析和評價績效的結果證據；記錄有關測量設備的維護、校準或驗證。 合規性評價是重要的評價標準之一，組織需要建立、實施和保持用于法律法規要求和其他要求的合規性進行評價。確定實施合規性評價的頻次和方法；評價合規性并在需要時采取措施；保持對其關于法律法規要求和其他要求的合規狀況的認識和理解；保留合規性評價結果的文件化信息。 組織進行內部審核也是重要的評價之一，職業管理體系是否符合：組織自身的職業管理體系要求，包括職業方針和職業目標；本標準的要求；職業管理體系是否得到有效實施和保持。審核的方案應考慮相關過程的重要性和以往審核結果的情況下，策劃、建立、實施和保持包含頻次、方法、職責、協商、策劃要求和報告的審核方案；規定每次審核的審核準則和范圍；選擇審核員并實施審核，以確保審核過程的客觀性和公正性；確保向相關管理者報告審核結果；確保向工作人員及代表以及其他相關方報告相關的審核結果；采取措施。以應對不符合和持續改進其職業績效；保留文件化信息，作為審核方案是實施和審核結果的證據。 管理者應按照策劃的時間間隔對組織的職業管理體系進行評審，以確保其持續的適應性、充分性和有效性。以往管理評審采取措施的狀況；與職業管理體系相關的內容和外部議題的變化，包括：相關方的需求和期望；法律法規要求和其他要求；風險和機遇；職業方針和職業目標的實現程度；職業績效方面的信息，包括以下方面的趨勢：事件、不符合、糾正措施和持續改進；監視和測量的結果；對法律法規要求和其他要求的合規性評價的結果；審核結果；工作人員的協商和參與；風險和機遇；保持有效的職業管理體系所需資源的充分性；與相關方的有關溝通；持續改進的機會。任何對職業管理體系變更的需求；所需資源；措施；改進職業管理體系與其他業務過程融合的機會；對組織戰略方向的任何影響。 職業管理體系的改進？ 組織應確定改進機會，并實施必要的措施，以實現其職業管理體系的預期結果。為了達到預期的結果。組織應建立、實施和保持包括報告、調查和采取措施在內的過程，以確定和管理事件和不符合。當事件或不符合發生時，組織應：及時對時間和不符合做出反應，并在適用時采取措施予以控制和糾正以及處置后果。 在工作人員的參與和其他相關方的參加下，通過下列活動，評價是否采取糾正措施以導致時間或不符合的根本原因，防止時間或不符合再次發生或在其他場合發生。需要調查的部分有調查事件或評審不符合；確定導致時間或不符合的原因；確定類似時間是否曾經發生過，不符合是否存在，或他們是否可能會發生。在適當時，對現有的職業風險其他風險的評價進行評審；按照控制層級和變更管理，確定并實施任何所需的措施，包括糾正措施；在采取措施前，評價與新的或變化的危險源相關的職業風險；評審任何采取措施的有效性，包括糾正措施；在必要時，變更職業管理體系。 糾正措施應與事件或不符合所產生的影響或潛在影響相適應。組織應保留文件化信息作為以下方面的證據包括：事件或不符合的性質以及所采取的任何后續措施；任何措施和糾正措施的結果，包括其有效性。組織應就此文件化信息與相關工作人員及其代表和其他的相關方進行溝通。保持和保留文件化信息作為持續改進的證據。 職業管理體系認證對組織中人員以及工作相關的傷害和損害的形成了具體的體系指導通過建立、實施和保持職業管理體系，以改進、危險源并盡可能降低職業風險、利用職業機遇，以及應對與其活動相關的職業管理體系不符合。 通過職業管理體系認證達到持續改進職業績效；滿足法律法規要求和其他要求；實現職業目標