استاندارد ISO27001:2013 سیستم مدیریت امنیت اطلاعات را این گونه تعریف می نماید: قسمتی از یک سیستم مدیریت کلان، بنا نهاده شده بر دیدگاه مخاطرات کسب و کار، به منظور ایجاد و پیاده سازی، اجرا، پایش، بازنگری، نگهداری و بهبود امنیت اطلاعات
از جمله اقداماتی که جهت پیاده سازی سیستم صورت خواهد گرفت عبارت است از:
- بررسی سیاست های فعلی و ارائه سیاست های مطلوب امنیت اطلاعات
- بررسی نحوه ارزیابی و مدیریت مخاطرات امنیت اطلاعات، و ارائه متدلوژی مطلوب مدیریت مخاطرات
- بررسی فرآیندها و روش های فعلی فناوری اطلاعات و ارائه نقشه فرآیندی مطلوب سازمان
- بررسی سیاست های امنیت شبکه و کنترل و مانیتورینگ آن، و ارئه راه حل های بهبود
- تشکیل کمیته های اجرایی، راهبری و نظارت و شرح مسئولیت ها
- نگارش خط مشی امنیت اطلاعات و تعیین اهداف Smart امنیت اطلاعات
- تدوین و طراحی متدولوژی مدیریت ریسک (Risk Management Methodology)
- فهرست برداری از فعالیت های حساس تجاری و شناسایی و طبقه بندی سرمایه های (دارایی های) اطلاعاتی
- شناسایی تهدیدها و آسیب پذیری های امنیتی (threats & vulnerability identification)
- شناسایی و طبقه بندی ریسک های امنیتی
- ارزش‌گذاری دارایی های شناسایی شده و ارزش‌گذاری آسیب پذیری و محاسبه پیامد ریسک
- تدوین استراتژی های برطرف سازی ریسک (Treatments of Risk)
- طراحی و معماری سیستم
- مراحل طراحی کنترل های امنیتی
- مدیریت حوادث امنیت اطلاعات (Information Security Incident Management process)
- تهیه، نگهداری و پایش طرح های تداوم جریان کار (BCP)
- طرح مدیریت بحران
- آموزش دستورالعمل ها و سیاست های امنیتی به کارکنان
- تهیه و ارائه لیست تجهیزات مورد نیاز (LOM) و طراحی و ارائه معماری زیر ساخت شبکه
- تدوین SOA- Statement Of Applicability
- پیاده سازی خط مشی ها، فرآیندها و دستور العمل ها
- آموزش حسابرسان و ممیزان داخلی سازمان
- بررسی و بازنگری سیستم
- اعمال اصلاحات و بهبودهای سیستم
- ممیزی و همراهی تا صدور گواهینامه ISO/IEC 27001