如果您开始实施
ISO 27001，您可能正在寻找一种简单的方法来实施它，但是，我会尽量让您的工作更轻松——这里列出了 16 个步骤，总结了如何实施 ISO 27001，27001 检查表 如果您想获得 ISO 27001 认证，您的组织需要执行的主要步骤。
ISO 27001步骤一：
获得管理层的支持
这个可能看起来很明显，而且通常没有得到足够的重视。但根据我的经验，这是 ISO 27001 认证项目失败的主要原因——管理层要么没有提供足够的人来从事该项目，要么没有足够的资金。
ISO 27001步骤二：
把它当作一个项目
正如我已经说过的，基于 ISO 27001 的
信息安全管理系统 (
ISMS) 的实施是一个复杂的问题，涉及各种活动和大量人员，持续数月（或一年多）。如果你没有明确定义要做什么，谁来做，以及在什么时间范围内（即应用项目管理），你可能永远不会完成这项工作。
ISO 27001步骤三：
如果您是一个较大的组织，那么仅在组织的一个部分实施 ISO 27001 可能是有意义的，从而显着降低您的项目风险；但是，如果您的公司少于 50 名员工，您可能更容易将整个公司包括在范围内。
ISO 27001步骤四：
信息安全政策（或 ISMS 政策）是您的 ISMS 中最高级别的内部文件——它不应该非常详细，但它应该定义您组织中信息安全的一些基本要求，但是如果不详细说明它的目的是什么？目的是让管理层定义它想要实现的目标以及如何控制它。
ISO 27001步骤五：
定义风险评估方法
风险评估是 ISO 27001 项目中最复杂的任务——重点是定义识别风险、影响和可能性的规则，并定义可接受的风险水平。如果这些规则没有明确定义，您可能会发现自己会遇到无法使用的结果。
进行风险评估和风险处理
在这里，您必须实施您在上一步中定义的风险评估——大型组织可能需要几个月的时间，因此您应该非常小心地协调此类工作，关键是要全面了解组织信息的内部和外部危险。
风险处理过程的目的是降低不可接受的风险——这通常是通过计划使用附件 A 中的控制来实现的（在根据 ISO 27001 的风险处理中的第4 条缓解选项中了解更多信息）。
撰写适用性声明
一旦您完成了风险处理流程，您就会确切地知道您需要附件 A 中的哪些控制措施（共有 114 项控制措施，但您可能不需要全部），本文档（通常称为 SoA）的目的是列出所有控制措施并定义哪些适用哪些不适用，以及做出此类决定的原因；通过控制实现的目标；以及如何在组织中实施它们的描述，适用性声明也是获得实施 ISMS 的管理授权的最合适的文件。
编写风险处理计划
就在您认为已经解决了所有与风险相关的文件时，另一个文件出现了——风险处理计划的目的是准确定义如何实施 SoA 中的控制——谁来做，什么时候做，预算多少等等，这个文件实际上是一个专注于你的控制的实施计划，没有它你将无法协调项目中的进一步步骤。
内部审计
很多时候，人们没有意识到他们做错了什么（另一方面，他们有时会意识到，但他们不想让任何人知道这件事）。但是，不了解现有或潜在问题可能会损害您的组织——您必须执行内部审计才能找出此类问题。这里的重点不是采取纪律处分，而是采取纠正和/或预防措施。
管理审查
管理层不必配置您的防火墙，但他们必须知道 ISMS 中发生了什么，即，是否每个人都履行了自己的职责，以及 ISMS 是否达到了预期的结果，满足了定义的要求等。基于此，管理层必须做出一些关键决定。