سیستم مدیریت امنیت اطلاعات Information Security Management System

استاندارد ISO27001:2013 سیستم مدیریت امنیت اطلاعات را این گونه تعریف می نماید: قسمتی از یک سیستم مدیریت کلان، بنا نهاده شده بر دیدگاه مخاطرات کسب و کار، به منظور ایجاد و پیاده سازی، اجرا، پایش، بازنگری، نگهداری و بهبود امنیت اطلاعات

از جمله اقداماتی که جهت پیاده سازی سیستم صورت خواهد گرفت عبارت است از:

• بررسی سیاست های فعلی و ارائه سیاست های مطلوب امنیت اطلاعات
• بررسی نحوه ارزیابی و مدیریت مخاطرات امنیت اطلاعات، و ارائه متدلوژی مطلوب مدیریت مخاطرات
• بررسی فرآیندها و روش های فعلی فناوری اطلاعات و ارائه نقشه فرآیندی مطلوب سازمان
• بررسی سیاست های امنیت شبکه و کنترل و مانیتورینگ آن، و ارئه راه حل های بهبود
• تشکیل کمیته های اجرایی، راهبری و نظارت و شرح مسئولیت ها
• نگارش خط مشی امنیت اطلاعات و تعیین اهداف Smart امنیت اطلاعات
• تدوین و طراحی متدولوژی مدیریت ریسک (Risk Management Methodology)
• فهرست برداری از فعالیت های حساس تجاری و شناسایی و طبقه بندی سرمایه های (دارایی های) اطلاعاتی
• شناسایی تهدیدها و آسیب پذیری های امنیتی  (threats & vulnerability identification)
• شناسایی و طبقه بندی ریسک های امنیتی
• ارزش‌گذاری دارایی های شناسایی شده و ارزش‌گذاری آسیب پذیری و محاسبه پیامد ریسک
• تدوین استراتژی های برطرف سازی ریسک  (Treatments of Risk)
• طراحی و معماری سیستم
• مراحل طراحی کنترل های امنیتی
• مدیریت حوادث امنیت اطلاعات  (Information Security Incident Management process)
• تهیه، نگهداری و پایش طرح های تداوم جریان کار (BCP)
• طرح مدیریت بحران
• آموزش دستورالعمل ها و سیاست های امنیتی به کارکنان
• تهیه و ارائه لیست تجهیزات مورد نیاز (LOM) و طراحی و ارائه معماری زیر ساخت شبکه
• تدوین  SOA- Statement Of Applicability
• پیاده سازی خط مشی ها، فرآیندها و دستور العمل ها
• آموزش حسابرسان و ممیزان داخلی سازمان
• بررسی و بازنگری سیستم
• اعمال اصلاحات و بهبودهای سیستم
• ممیزی و همراهی تا صدور گواهینامه ISO/IEC 27001