ISO27001認證一般要經過以下幾個主要步驟：1、ISO27001認證策劃與準備策劃與準備階段主要是做好建立信息管理體系的各種前期工作。內容包括教育培訓、擬定計劃、管理發(fā)展情況調研，以及人力資源的配置與管理。2、ISO27001認證確定信息管理體系適用的范圍信息管理體系的范圍就是需要重點進行管理的領域。組織需要根據自己的實際情況，可以在整個組織范圍內、也可以在個別部門或領域內實施。在本階段的工作，應將組織劃分成不同的信息控制領域，這樣做易于組織對有不同需求的領域進行適當的信息管理。在定義適用范圍時，應重點考慮組織的適用環(huán)境、適用人員、現有IT技術、現有信息資產等。3、ISO27001認證現狀調查與風險評估依據有關信息技術與管理標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機密性、完整性和可用性等屬性進行調研和評價，以及評估信息資產面臨的威脅以及導致事件發(fā)生的可能性，并結合事件所涉及的信息資產價值來判斷事件一旦發(fā)生對組織造成的影響。4、ISO27001認證建立信息管理框架建立信息管理體系要規(guī)劃和建立一個合理的信息管理框架，要從整體和全局的視角，從信息系統(tǒng)的所有層面進行整體建設，從信息系統(tǒng)本身出發(fā)，根據業(yè)務性質、組織特征、信息資產狀況和技術條件，建立信息資產清單，進行風險分析、需求分析和選擇控制，準備適用性聲明等步驟，從而建立體系并提出解決方案。5、ISO27001認證體系文件編寫建立并保持一個文件化的信息管理體系是ISO/IEC27001:2005標準的總體要求，編寫信息管理體系文件是建立信息管理體系的基礎工作，也是一個組織實現風險控制、評價和改進信息管理體系、實現持續(xù)改進不可少的依據。在信息管理體系建立的文件中應該包含有：方針文檔、適用范圍文檔、風險評估文檔、實施與控制文檔、適用性聲明文檔。6、ISO27001認證體系的運行與改進信息管理體系文件編制完成以后，組織應按照文件的控制要求進行審核與批準并發(fā)布實施，至此，信息管理體系將進入運行階段。在此期間，組織應加強運作力度，充分發(fā)揮體系本身的各項功能，及時發(fā)現體系策劃中存在的問題，找出問題根源，采取糾正措施，并按照更改控制程序要求對體系予以更改，以達到進一步完善信息管理體系的目的。7、ISO27001認證體系審核體系審核是為獲得審核證據，對體系進行客觀的評價，以確定滿足審核準則的程度所進行的系統(tǒng)的、獨立的并形成文件的檢查過程。體系審核包括內部審核和外部審核(第三方審核)。內部審核一般以組織名義進行，可作為組織自我合格檢查的基礎；外部審核由外部獨立的組織進行，可以提供符合要求的認證或注冊。至于應采取哪些控制方式則需要周密計劃，并注意控制細節(jié)。信息管理需要組織中的所有雇員的參與，比如為了防止組織外的第三方人員非法進入組織的辦公區(qū)域獲取組織的技術機密，除物理控制外，還需要組織全體人員參與，加強控制。此外還需要供應商，顧客或股東的參與，需要組織以外的專家建議。信息、信息處理過程及對信息起支持作用的信息系統(tǒng)和信息網絡都是重要的商務資產。信息的保密性、完整性和可用性對保持競爭優(yōu)勢、資金流動、效益、法律符合性和商業(yè)形象都是至關重要的。

一、為什么要做ISO9001質量體系認證？ 1．既是參與市場競爭的需要（客戶推動）： A如果不建立并運行質量管理體系，將會取消合格供方資格，許多大型項目的招投標沒有資格參加。 B如果沒有進行質量體系認證，出口的產品將受到更嚴格的質量監(jiān)測。 2．也是加強企業(yè)管理的內在需求（管理推動）。 A管理水平低。 B產品質量不穩(wěn)定。 C交貨期得不到保證。 C頻繁的顧客投訴造成了直接的經濟損失。 結論：要做ISO9001質量體系認證，會影響公司的信譽，公司的生存也將受到嚴重影響。 二、ISO9001質量體系認證運用的是過程管理： 1．原理：ISO9001質量體系認證是過程管理，確保影響產品質量的技術、管理和人的因素處于受控狀態(tài)。所有的控制都是針對減少、不合格，尤其是不合格發(fā)生。 通俗地說：控制了過程，產品質量就是有理由相信的（但還不能保證）。反之，產品質量好，一定是各個過程的控制質量高。 2．思想：為主 3．要求：結合本企業(yè)的具體情況確定應有哪些過程？分析每一過程需要并展的質量話動，確定應采取的有效的控制措施和方法。 4．過程范圍：在產品壽命周期的所有階段，從初的識別市場需求到終滿足要求的所有過程控制。 5．過程控制要素：人、機、料、法、環(huán)、測。 三、如何去做過程管理？ （一）主要過程有： 1．市場調研：在準確地確定市場需求的基礎上開發(fā)新產品，防止盲目開發(fā)不適合市場需要的滯銷產品，浪費人力、物力。 2．設計開發(fā)：通過開展設計評審、設計驗證、設計確認等活動，確保設計輸出滿足輸入要求，確保產品符合使用者的需求，防止因設計質量問題，造成產品的先天性的不合格和缺陷。 3．采購：選擇合格的供貨單位并控制其供貨質量，確保所需的原材料、外購件、協(xié)作件等符合規(guī)定的質量要求，防止使用不合格外購產品投入生產而影響成品質量。（料） 4．生產：確定并執(zhí)行適宜的生產方法，使用適道的設備：保持設備正常工作能力和所需的工作環(huán)境，控制影響質量的參數和人員技能，確保產品符合設計規(guī)定的質量要求，防止不合格品的生產。防止將不合格的工序產品轉入下道工序。（機、法、環(huán)） 5．檢驗和試驗：使用檢定或自校的手段檢測設備的正常狀況，確保檢驗結果的有效性，防止因檢測手段不合格造成對產品質量不正確的判定。按質量計劃和形成文件的程序進行進貨檢驗、過程檢臉和成品檢驗，確保產品質量符合要求。（測） 6．交付：在搬運、貯存、包裝、防護和交付等環(huán)節(jié)采取有效措施保護產品，防止損壞和變質，防止將不合格的產品交付給顧客。 （二）輔助過程： 1．文件管理：確保所有的場所使用的文件和資料都是現行有效的，防止使用過時或作廢的文件，造成產品質量的還合格。 2．全員培訓：對所有從事對質量有性響的工作人員都進行培訓，。確保他們能勝任本崗位的工作，防止因知識或技能的不足，造成產品的不合格。（人） 3．糾正和措施：當發(fā)生不合格（包括產品的或體系的）或有顧客投訴時、應查明原因，針對原因采取糾正措施以防止問題的再發(fā)生；還應通過對質量信息的分析，發(fā)現潛在的問題。防止問題的出現，從而改進產品的質量。 4．質量改進：包括產品質量改進和工作質量改進，持續(xù)的質量改進是企業(yè)各級管理者追求的永恒目標。質量改進通過改進過程來實現，以追求更高的過程效益和效率為目標。 也可以這樣認為： 如果過程是這樣的：設計開發(fā)能滿足顧客需求、有經過技能培訓的人員、檢測設備經過檢定、外購的材料質量好、操作按規(guī)范要求、生產后的產品經過檢測，在搬運、貯存、包裝、防護和交付等環(huán)節(jié)采取有效措施保護產品，這樣的產品是可以信任的。 如果過程是這樣的：設計時先天性的不合格和缺陷，人員都不知道操作，而且不按作業(yè)規(guī)范操作，檢測設備不知道好壞、外購的材料是粗制濫造的、生產后的產品也沒有檢測直接出廠、粗暴包裝、搬運，這樣的產品誰又敢用呢？ 四、體系運行后會帶來的成效：實現跨越式發(fā)展。 1．根據市場需求，大力進行新產品研發(fā)和工藝改進，產品的技術含量得到進一步，市場競爭能力得到進一步增強。 2．市場適應能力和競爭能力得到有效增強，也取得了顯著的經濟效益。 3．質量保證能力明顯增強，無論是進廠原料檢驗合格率，還是產品合格率都得到改善， 4．顧客的忠誠度、滿意率逐年提高。

ISO/IEC27001:2005標準的英文全稱是Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-requirements，翻譯成中文為信息技術技術信息管理體系要求。ISO27001是信息管理體系（ISMS）的規(guī)范標準，是為組織機構提供信息認證執(zhí)行的認證標準，其中詳細說明了建立、實施和維護信息管理體系的要求。它是BS7799-2:2002由國際標準化組織及國際電工委員會轉換而來，并于2005年10月15日頒布。 國際標準ISO/IEC27001是由聯合技術委員會ISO/IECJTC1（信息技術）的SC27分會（技術）起草的。 ISO27001信息管理體系標準為建立、實施、運行、監(jiān)視、評審、保持和改進信息管理體系（ISMS）提供了模型。ISMS的采用是組織的戰(zhàn)略性決策。組織ISMS的設計和實施受組織需求、目標、需求、應用的過程以及組織規(guī)模和結構的影響。經過一段時間，組織及其支持系統(tǒng)會發(fā)生改變。因此ISMS的實施應與組織的需要相一致，如，簡單的環(huán)境只需要一個簡單的ISMS解決方案。 ISO27001信息管理體系標準可被內外部的相關方用于評估符合性。 信息管理體系（InformationSecurityManagementSystem，簡稱為ISMS）是1998年前后從英國發(fā)展起來的信息領域中的一個新概念，是管理體系（ManagementSystem，MS）思想和方法在信息領域的應用。近年來，伴隨著ISMS國際標準的制修訂，ISMS迅速被全球接受和認可，成為世界各國、各種類型、各種規(guī)模的組織解決信息問題的一個有效方法。ISMS認證隨之成為組織向社會及其相關方證明其信息水平和能力的一種有效途徑。 ISO27001信息管理體系的目標：是透過一整體規(guī)劃的信息解決方案，來確保企業(yè)所有信息系統(tǒng)和業(yè)務的，并保持正常運作。 信息管理體系利用風險分析管理工具，結合企業(yè)資產列表和威脅來源的調查分析及系統(tǒng)弱點評估等結果，并綜合評估影響企業(yè)整體的因素，來制定適當的信息政策與信息作業(yè)準則，從而降低潛在的風險危機。 在ISMS的要求標準ISO/IEC27001:2005（信息管理體系要求）的第3章術語和定義中，對ISMS的定義如下： ISMS（信息管理體系）：是整個管理體系的一部分。它是基于業(yè)務風險方法，來建立、實施、運行、監(jiān)視、評審、保持和改進信息的。注：管理體系包括組織結構、方針策略、規(guī)劃活動、職責、實踐、程序、過程和資源。 這個定義看上去同其他管理體系的定義描述不盡相同，但我們也可以用ISOGUIDE72:2001（Guidelinesforthejustificationanddevelopmentofmanagementsystemstandards管理體系標準合理性和制定導則）中管理體系的定義，將ISMS描述為：組織在信息方面建立方針和目標，并實現這些目標的一組相互關聯、相互作用的要素。 ISO27001信息管理體系ISMS同其他體系MS（如ISO9001質量管理體系QMS、ISO14001環(huán)境管理體系EMS、OHSAS18001職業(yè)管理體系OHSMS）一樣，有許多共同的要素，其原理、方法、過程和體系的結構也基本一致。 單純從定義理解，可能無法立即掌握ISMS的實質，我們可以把ISMS理解為一臺機器，這臺機器的功能就是制造信息，它由許多部件（要素）構成，這些部件包括ISMS管理機構、ISMS文件以及資源等，ISMS通過這些部件之間的相互作用來實現其保障信息的功能。