教育培訓(xùn)
為了強(qiáng)化組織的 信息安全意識(shí)，明確信息安全管理體系的基本要求，進(jìn)行 信息安全管理體系標(biāo)準(zhǔn)和相關(guān)知識(shí)的培訓(xùn)是十分必要的，這也是組織搞好信息安全管理的關(guān)鍵因素之一。
擬定計(jì)劃
信息安全管理體系的建立和維持是一項(xiàng)復(fù)雜的系統(tǒng)工程，包括培訓(xùn)、風(fēng)險(xiǎn)評(píng)估、文件編寫、運(yùn)行、審核、 糾正和預(yù)防措施等大量的工作。為確保體系順利的建立，組織應(yīng)進(jìn)行統(tǒng)籌安排，即制定一個(gè)切實(shí)可行的工作計(jì)劃，明確不同時(shí)間段的 工作任務(wù)目標(biāo)及責(zé)任分工，控制工作進(jìn)度，突出工作重點(diǎn)，例如采用工程進(jìn)度計(jì)劃表?？傮w計(jì)劃被批準(zhǔn)后，就可以針對(duì)具體工作項(xiàng)目 制定詳細(xì)計(jì)劃，例如文件編寫計(jì)劃。在制定計(jì)劃時(shí)，組織應(yīng)考慮資源需求，例如人員的需求、培訓(xùn)經(jīng)費(fèi)、辦公設(shè)施、聘請(qǐng)咨詢公司的 費(fèi)用等，如果尋求體系的三方認(rèn)證，還要考慮認(rèn)證費(fèi)用，組織高管理層應(yīng)確保提供建立體系所必須的人力與財(cái)務(wù)資源。
確定信息安全方針與信息安全管理體系范圍
信息安全方針是關(guān)于在一個(gè)組織內(nèi)，指導(dǎo)如何對(duì)資產(chǎn)， 包括敏感信息進(jìn)行管理、保護(hù)和分配的規(guī)則、指示。這里所談到的信息安全方針是組織信息安全的總體方針，組織首先應(yīng)制定信息安 全方針，描述信息安全在組織內(nèi)的重要性，表明管理層的承諾，提出組織管理信息安全的方法，以便為組織的信息安全提供管理方向 與支持。
現(xiàn)狀與風(fēng)險(xiǎn)評(píng)估
組織信息安全管理現(xiàn)狀與風(fēng)險(xiǎn)評(píng)估工作是建立信息安全管理體系 的基礎(chǔ)與關(guān)鍵，在體系建立的整個(gè)過程中，風(fēng)險(xiǎn)評(píng)估的工作量占了很大比例，風(fēng)險(xiǎn)評(píng)估的工作質(zhì)量直接影響安全控制的合理選擇，因 此，組織應(yīng)責(zé)成專門的部門負(fù)責(zé)此項(xiàng)基礎(chǔ)性工作，風(fēng)險(xiǎn)評(píng)估人員應(yīng)理解標(biāo)準(zhǔn)的基本要求，掌握風(fēng)險(xiǎn)評(píng)估的方法，熟悉組織商務(wù)運(yùn)作流 程與信息系統(tǒng)。風(fēng)險(xiǎn)評(píng)估需要不同部門的管理、信息技術(shù)、操作人員參與，必要時(shí)應(yīng)獲得信息安全專家的支持。風(fēng)險(xiǎn)評(píng)估的結(jié)果應(yīng)被 確認(rèn)。
信息安全管理體系策劃
在完成現(xiàn)狀與風(fēng)險(xiǎn)評(píng)估工作之后，組織要根據(jù)已確立的 信息安全方針的總體要求與信息安全管理體系范圍、風(fēng)險(xiǎn)評(píng)估的結(jié)果，明確組織信息安全結(jié)構(gòu)與職責(zé)、選擇控制目標(biāo)與控制方式、編 寫控制概要、制定業(yè)務(wù)持續(xù)性計(jì)劃。
信息安全管理體系文件編制完成以后，組織應(yīng)按照文件的控制要求進(jìn)行審 核與批準(zhǔn)，并發(fā)布實(shí)施，至此，信息安全管理體系將進(jìn)入運(yùn)行階段。體系運(yùn)行初期一般稱為試運(yùn)行期或磨合期，在此期間體系運(yùn)行的 目的是要在實(shí)踐中檢驗(yàn)體系的充分性、適用性和有效性。在體系運(yùn)行初期，組織應(yīng)加強(qiáng)運(yùn)作力度，通過實(shí)施其手冊、程序和各種作業(yè) 指導(dǎo)性文件等一系列體系文件，充分發(fā)揮體系本身的各項(xiàng)功能，及時(shí)發(fā)現(xiàn)體系策劃本身存在的問題，找出問題根源，采取糾正措施， 糾正各種不符合，并按照更改控制程序要求對(duì)體系予以更改，以達(dá)到進(jìn)一步完善信息安全管理體系的目的。
有針對(duì)性 地宣貫信息安全管理體系文件。
體系文件的培訓(xùn)工作是體系運(yùn)行的首要任務(wù)，培訓(xùn)工作的質(zhì)量直接影響體系運(yùn)行的結(jié) 果。組織應(yīng)根據(jù)培訓(xùn)工作計(jì)劃的安排并按照培訓(xùn)程序的要求對(duì)全體員工實(shí)施培訓(xùn)。通過培訓(xùn)使全體員工認(rèn)識(shí)到新建立或完善的信息安 全管理體系是對(duì)過去信息安全管理體系的變革，是為了向國際先進(jìn)的信息安全管理標(biāo)準(zhǔn)接軌，要適應(yīng)這種變革和新管理體系的運(yùn)行， 就必須認(rèn)真學(xué)習(xí)、貫徹信息安全管理體系文件。
實(shí)踐是檢驗(yàn)真理的標(biāo)準(zhǔn)。
體系文件通過試運(yùn)行 必然會(huì)出現(xiàn)一些問題，全體員工應(yīng)將實(shí)踐中出現(xiàn)的問題和改進(jìn)意見如實(shí)反饋給有關(guān)部門，以便采取糾正措施。
將體系 試運(yùn)行中暴露出的問題，如體系設(shè)計(jì)不周、項(xiàng)目不全等進(jìn)行協(xié)調(diào)、改進(jìn)。
信息安全管理體系的運(yùn)行涉及組織體系范圍 的各個(gè)部門，在運(yùn)行過程中，各項(xiàng)活動(dòng)往往不可避免的發(fā)生偏離標(biāo)準(zhǔn)的現(xiàn)象，因此，組織應(yīng)按照嚴(yán)密、協(xié)調(diào)、高效、精簡、統(tǒng)一的原 則，建立信息反饋與信息安全協(xié)調(diào)機(jī)制對(duì)異常信息反饋和處理，對(duì)出現(xiàn)的問題加以改進(jìn)，并保證體系的持續(xù)正常運(yùn)行。
加強(qiáng)有關(guān)體系運(yùn)行信息的管理，不僅是信息安全管理體系試運(yùn)行本身的需要，也是保證試運(yùn)行成功的關(guān)鍵。
所有與 信息安全管理體系活動(dòng)有關(guān)的人員都應(yīng)按體系文件要求，做好信息安全的信息收集、分析、傳遞、反饋、處理和歸檔等工作。
信息安全體系文件屬于組織的信息資產(chǎn)，包含有關(guān)組織的全部安全管理等敏感信息，組織應(yīng)按照信息分類的原則對(duì)其 進(jìn)行分類、進(jìn)行密級(jí)標(biāo)注并實(shí)行嚴(yán)格的安全控制，未經(jīng)授權(quán)不得隨意復(fù)制或借閱。
策劃階段，組織應(yīng)：
定義ISMS的范圍和方針；
定義風(fēng)險(xiǎn)評(píng)估的系統(tǒng)性方法；
識(shí)別風(fēng)險(xiǎn)；
應(yīng)用組織確定的系統(tǒng)性方法評(píng)估風(fēng)險(xiǎn)；
識(shí)別并評(píng)估可選的風(fēng)險(xiǎn)處理方式；
選擇控制目標(biāo)與控制方式；
當(dāng)決定接受剩余風(fēng)險(xiǎn)時(shí)應(yīng)獲得管理者同意，并獲得管理者授權(quán)開始運(yùn)行信息安全管理體系。
實(shí)施階段，組織應(yīng)該實(shí)施選擇的控制，包括：
實(shí)施特定的管理程序；
實(shí)施所選擇的控制；
運(yùn)作管理；
實(shí)施能夠促進(jìn)安全事件檢測和響應(yīng)的程序和其他控制。
檢查階段，組織應(yīng)：
執(zhí)行程序，檢測錯(cuò)誤和違背方針的行為 ；