信息安全管理体系建立和运行步骤

随着软件信息行业的慢慢崛起，信息安全管理体系也开始慢慢被企业所知，不管是企业内部提升，还是招标加分项，都或多或少的体现出信息安全管理体系的重要性，要求组织建立并保持一个文件化的信息安全管理体系，其中应阐述需要保护的资产、组织风险管理的渠道、控制目标及控制方式和需要的保证程度。

其实如果要考虑信息安全管理体系认证，那么其过程和详细步骤如下：
1、现场诊断，了解企业的现状，；
2、确定信息安全管理体系的方针、目标；
3、明确信息安全管理体系的范围，根据组织的特性、地理位置、资产和技术来确定界限；
4、对管理层进行信息安全管理体系基本知识培训；
5、信息安全体系内部审核员培训；
6、建立信息安全管理组织机构；
7、实施信息资产评估和分类，识别资产所受到的威胁、薄弱环节和对组织的影响，并确定风险程度；
8、根据组织的信息安全方针和需要的保证程度通过风险评估来确定应实施管理的风险，确定风险控制手段；
9、制定信息安全管理手册和各类必要的控制程序；
10、制定适用性声明；
11、制定商业可持续性发展计划；
12、审核文件、发布实施；
13、体系运行，有效的实施选定的控制目标和控制方式；
14、内部审核；
15、管理评审；
16、第一阶段认证审核；
17、第二阶段认证审核；
18、办法证书
19、体系持续运行/年度监督审核；
20、复评审核（证书三年有效）。
许多信息系统本身就不是按照安全系统的要求来设计的，所以仅依靠技术手段来实现信息安全有其局限性，所以信息安全管理体系的实现必须得到管理和程序控制的适当支持。