1. Xác định lợi ích
Nhóm quản lý xác định các lợi ích mà tổ chức có thể thông qua việc áp dụng một hệ thống quản lý an ninh thông tin và đạt chứng nhận ISO 27001.
Sau đó, bạn cần chỉ định một chuyên gia tư vấn có kinh nghiệm với những hiểu biết cần thiết để đạt được chứng nhận ISO 27001.
2. Đánh giá rủi ro
Công việc sẽ bắt đầu từ việc xác định, sau đó đánh giá các rủi ro về an ninh trong toàn tổ chức.
Mỗi rủi ro đều được đánh giá về nguy cơ diễn ra cao hay thấp và đánh giá mức độ ảnh hưởng của từng sự cố đối với tổ chức.
3. Kiểm soát thực hiện
Từ danh sách các rủi ro an ninh đã được xác định, có thể áp dụng các biện pháp kiểm soát thích hợp để giảm rủi ro xuống mức độ chấp nhận được.
Sau đó các hệ thống quản lý sẽ đươc thiết lập để quản lý các rủi ro, giám sát các sự cố an ninh và liên tục giám sát các quá trình, xác định các rủi ro mới.
4. Tiến hành chứng nhận
Đến bước này, bạn đã sẵn sàng tiến hành lần đánh giá đầu tiên.
Trước tiên, chuyên gia đánh giá sẽ xem xét hệ thống văn bản, đảm bảo rằng chúng khớp với những gì bạn thực sự thực hiện và đưa ra kiến nghị thay đổi nếu cần.
Khi đã thực hiện những thay đổi cần thiết, bạn sẽ sẵn sàng để tiến hành một cuộc đánh giá thực sự thực hiện bởi một tổ chức chứng nhận độc lập được công nhận, tổ chức đó nên được UKAS công nhận.
5. Quản lý hệ thống tài liệu
Lưu giữ các hồ sơ và sử dụng hệ thống tài liệu thích hợp sẽ giúp bạn duy trì được một hệ thống hiệu quả.
6. Biện pháp khắc phục
Có một điều không thể tránh khỏi đó là các quá trình có thể trở nên không còn đúng và bạn sẽ cần một quá trình đã xác định để sửa chữa vấn đề và xác định điểm sai trước khi thay đổi để ngăn không có vấn đề tái diễn.
Bạn nên giữ một hồ sơ về các hành động bạn thực hiện để điều chỉnh vấn đề. Nếu có thể, bạn nên xác định các vùng vấn đề tiềm ẩn và thiết lập một hệ thống nhằm ngăn chặn hay giảm thiểu hiệu ứng của chúng trước khi xảy ra vấn đề.
7. Đánh giá thường xuyên
Bạn cần phải thường xuyên đánh giá chất lượng nội bộ hệ thống mình áp dụng. Những cá nhân trong tổ chức của bạn, những người độc lập với các chức năng được đánh giá có thể tiến hành đánh giá nội bộ.
Chuyên gia đánh giá sẽ kiểm tra xem tổ chức bạn có làm theo các quy trình hay không và xác định bất kỳ khu vực nào cần phải điều chỉnh.
Bạn sẽ phải có một quy trình cho việc lập kế hoạch, thực hiện và ghi chép các cuộc đánh giá.
