ISO27000認證體系建立和運行步驟 ISO27001標準要求組織建立并保持一個文件化的信息管理體系，其中應闡述需要保護的資產、組織風險管理的渠道、控制目標及控制方式和需要的保證程度。 不同的組織在建立與完善信息管理體系時，可根據自己的特點和具體情況，采取不同的步驟和方法。但總體來說，建立信息管理體系一般要經過下列四個基本步驟：信息管理體系的策劃與準備；信息管理體系文件的編制；信息管理體系運行；信息管理體系審核與評審。 如果考慮認證過程其詳細的步驟如下： 1. 現(xiàn)場診斷； 2. 確定信息管理體系的方針、目標； 3. 明確信息管理體系的范圍，根據組織的特性、地理位置、資產和技術來確定界限； 4. 對管理層進行信息管理體系基本知識培訓； 5. 信息體系內部審核員培訓； 6. 建立信息管理組織機構； 7. 實施信息資產評估和分類，識別資產所受到的威脅、薄弱環(huán)節(jié)和對組織的影響，并確定風險程度； 8. 根據組織的信息方針和需要的保證程度通過風險評估來確定應實施管理的風險，確定風險控制手段； 9. 制定信息管理手冊和各類必要的控制程序 ； 10. 制定適用性聲明； 11. 制定商業(yè)可持續(xù)性發(fā)展計劃； 12. 審核文件、發(fā)布實施； 13. 體系運行，有效的實施選定的控制目標和控制方式； 14. 內部審核； 15. 外部 階段認證審核； 16. 外部第二階段認證審核； 17. 頒發(fā)； 18. 體系持續(xù)運行/年度監(jiān)督審核； 19. 復評審核（三年有效）。 至于應采取哪些控制方式則需要周密計劃，并注意控制細節(jié)。信息管理需要組織中的所有雇員的參與，比如為了防止組織外的第三方人員非法進入組織的辦公區(qū)域獲取組織的技術機密，除物理控制外，還需要組織全體人員參與，加強控制。此外還需要供應商，顧客或股東的參與，需要組織以外的專家建議。信息、信息處理過程及對信息起支持作用的信息系統(tǒng)和信息網絡都是重要的商務資產。信息的保密性、完整性和可用性對保持競爭優(yōu)勢、資金流動、效益、法律符合性和商業(yè)形象都是至關重要的。 當前，越來越多的組織及其信息系統(tǒng)和網絡面臨著包括計算機詐騙、間諜、蓄意破壞、火災、水災等大范圍的威脅，諸如計算機病毒、計算機入侵、DoS攻擊等手段造成的信息災難已變得更加普遍,有計劃而不易被察覺。組織對信息系統(tǒng)和信息服務的依賴意味著更易受到威脅的破壞，公共和私人網絡的互連及信息資源的共享增大了實現(xiàn)訪問控制的難度。 許多信息系統(tǒng)本身就不是按照系統(tǒng)的要求來設計的，所以僅依靠技術手段來實現(xiàn)信息有其局限性，所以信息的實現(xiàn)必須得到管理和程序控制的適當支持。確定應采取哪些控制方式則需要周密計劃，并注意細節(jié)。信息管理至少需要組織中的所有雇員的參與，此外還需要供應商、顧客或股東的參與和信息的專家建議。

質量管理體系的設計 質量管理體系策劃的重點是提出質量管理體系的方案，也就是對質量管理體系進行設計 。設計質量的高低，在很大程度上決定了質量管理體系的運行結果。 （1）質量管理體系設計的原則 ①必須滿足“要求”； ②必須符合組織的實際情況； ③要充分考慮利益、成本和風險； ④要盡量利用現(xiàn)有的資源； ⑤要使質量管理體系有廣泛的適應性； ⑥要使設計過程成為一個“增值”的過程。 （2）質量管理體系設計的基本程序 ①深刻理解質量管理體系策劃的輸入 參與設計的人員特別是外聘的專家顧問，應通過學習、討論、調查、研 究、訪談等多種 形式，、深刻地理解“要求”、“情況”、“利益、成本和風險”等策劃的輸入。 ②選擇標準 1994版GB/T 19000 — ISO 9000族標準提供了三種質量保證模式。2000版將三種模式進 行了合并，但依然有GB/T 19001 — 2000和GB/T 19004 — 2000供組織選用。此外，還有QS 9000等專業(yè)性質量管理體系標準可供組織選擇。 ③決定必要的刪減 GB/T19001 — 2008規(guī)定：“當本標準的任何要求因組織及其產品的特點而不適用時， 可以考慮對其進行刪減?！睒藴室?guī)定，刪減只限于“產品實現(xiàn)”這一“板塊”要素中的要素 或子要素。在設計時，對刪減一定要慎重。 ④提出質量方針草案 質量方針是由 管理者制定的。策劃人員可為 管理者提供質量方針草案，以供 其選擇或參考。質量方針要根據組織的總方針、“要求”和“情況”等來制定。在策劃中， 應由 管理者召開專門會議，對組織的發(fā)展戰(zhàn)略和現(xiàn)狀進行分析和反思，有針對性地提出 來。 ⑤提出質量目標草案 質量目標也是由 管理者制定的。策劃人員可根據質量方針草案提 供質量目標方案 ，以供 管理者選擇或參考。質量目標與質量方針保持一致。 ⑥確定質量職能 根據選擇的標準（經過允許的刪減）和組織的實際情況，確定質量職能，提出質量職能 的清單。 ⑧確定質量手冊的框架結構 質量手冊是規(guī)定組織質量管理體系的文件。質量管理體系策劃至少要確定質量手冊的框 架結構，也就是說，要確定其所包含的全部內容，包括質量管理體系的范圍（要素和子要素 ）。 ⑨確定所需的程序文件目錄 GB/T19001 — 2000雖然只規(guī)定了必須建立的六個程序文件，但絕大多數組織所必需的 程序文件遠不止于此。策劃時，應根據組織的實際情況，確定所需的程序文件。凡那些對產 品、過程、體系有重大影響的過程或質量管理活動，都應當建立程序文件。 ⑦進行質量職能分配 這是質量管理體系策劃中重要又困難的工作。質量職能分配不下去，下一步建立或 改進 質量管理體系的工作就無法開展。而要合理分配質量職能又相當困難，很可能涉及組織機構 和人員調配等多種問題。為使質量職能分配真正落到實處，必要時可以調整組織的組織機構 和相關人員。 ⑩編制質量管理體系策劃方案 內容包括： a.為什么要建立或改進質量管理體系（主要闡述“要求”和“情況”）； b.質量管理體系方案的概述（選擇什么標準以及策劃所遵循的原則）； c.質量方針和質量目標草案； d.質量職能分配（可以將分配結果作為附件列在方案之中）； e.質量手冊框架（如果已編制了質量手冊草案，可附在方案之后）； f.程序文件目錄； g.對質量管理體系方案的有關說明； 11對方案和計劃進行評審和修改 方案和計劃都應提交給質量管理體系策劃領導小組進行評審， 管理者要親自主持評審會 議。對評審中提出的意見和建議，合理的應當接納，以對方案和計劃進行修改；不合理的則 應做好解釋工作；爭執(zhí)不下的，則由 管理者裁決認證。