規劃和準備1和ISO27001認證
主要是做好建立信息安全管理體系的各項準備工作。內容包括教育和培訓、制定計劃、調查安全管理的發展以及人力資源的分配和管理。
2.O27001認證決定了信息安全管理體系的適用範圍。
信息安全管理體系的範圍是需要重點管理的安全領域。組織需要根據自身的實際情況，在整個組織或個別部門或領域實施。在此階段，應將組織劃分為不同的信息安全控制領域，便於組織在不同需求的領域進行適當的信息安全管理。
在定義應用範圍時，應重點關註組織的適用環境、適用人員、現有IT技術和現有信息資產。
3.ISO27001認證的調查與風險評估。
依據相關信息安全技術和管理標準，對信息系統及其處理、傳輸和存儲的信息的保密性、完整性、可用性等安全屬性進行調查和評估，評估信息資產面臨的威脅和引發安全事件的可能性，結合安全事件涉及的信息資產價值，判斷壹旦發生安全事件對組織造成的影響。
4、ISO27001認證建立信息安全管理框架。
建立信息安全管理體系，需要規劃和建立合理的信息安全管理框架，從全局和全局的角度，從信息系統的各個層面進行整體安全建設；
從信息系統本身出發，根據業務性質、組織特點、信息資產狀況和技術條件，建立信息資產清單，進行風險分析、需求分析和安全控制選擇，編制適用性聲明，建立安全體系，提出安全解決方案。
5.ISO27001認證體系文件的編寫
建立並保持壹個文件化的信息安全管理體系是ISO/IEC27001:2005標準的壹般要求。編制信息安全管理體系文件是建立信息安全管理體系的基礎工作，也是壹個組織實現信息安全管理體系風險控制、評價和改進以及持續改進不可或缺的基礎。
信息安全管理體系中建立的文件應包括:安全政策文件、適用範圍文件、風險評估文件、實施和控制文件、適用性聲明文件。
6.ISO27001認證體系的運行與改進
信息安全管理體系文件編制完成後，組織應按照文件的控制要求進行審核和批準，並發布實施。至此，信息安全管理系統將進入運行階段。
在此期間，組織應加強運行，充分發揮系統本身的功能，及時發現系統策劃中存在的問題，找出問題的根源，采取糾正措施，按照變更控制程序的要求對系統進行變更，進壹步完善信息安全管理體系。
7、ISO27001認證體系審核
體系審核是壹個系統的、獨立的和有文件記錄的檢查過程，以獲取審核證據，客觀地評價體系並確定符合審核準則的程度。體系審核包括內部審核和外部審核(第三方審核)。
內部審核壹般以組織的名義進行，可作為組織自我資格檢查的依據；外部審核由外部獨立機構進行，可以提供符合要求的認證或註冊。至於應該采用哪種控制方式，需要仔細規劃，註意控制細節。
信息安全管理需要組織中所有員工的參與。比如，為了防止組織外的第三方非法進入組織的辦公區域獲取組織的技術秘密，除了物理控制之外，還需要組織全體員工參與，加強控制。此外，還需要供應商、客戶或股東的參與，需要組織外部的專家意見。
信息、信息處理、信息系統和支持信息的信息網絡都是重要的商業資產。信息的保密性、完整性和可用性對於保持競爭優勢、資本流動、效率、法律合規性和商業形象非常重要。