信息安全管理体系（InformationSecurityManagementSystems,ISMS）是组织整体管理系统的一部分。它是基于风险评估的一系列管理活动，如信息安全的建立、实施、运行、监控、审查、维护和持续改进。它是一个组织在整体或特定范围内建立信息安全政策和目标的系统，以及实现这些目标所采用的方法。

GB/T22080/ISO/IEC27001是建立和维护信息安全管理体系的标准。它要求组织采取确定信息安全管理体系范围、制定信息安全政策和策略、明确管理职责、基于风险评估选择控制目标和措施等一系列流程。它是一种动态的、系统的、系统的、预防性的组织信息安全管理方法。

近年来企业高层对内部治理需求越来越实际而具体。随着信息技术普遍渗透到企业组织中的各个方面，企业越来越依赖IT系统来处理和储存各种信息，以保证业务正常运营。业内人士对ISO27001认证趋之若鹜，这其中有两个关键性的驱动因素：一是日益严峻的信息安全威胁，二是不断增长的信息保护相关法规的需求。
　                        　
本质上说，信息安全威胁是全球化的。一般来说，它将毫无差别地辐射到每一个拥有、使用电子信息的机构和个人。这种威胁在因特网的环境中自动生成并释放。更严重的问题是，其他各种形式的危险也在整日威胁数据安全，包括从外部攻击行为到内部破坏、偷盗等一系列危险。
　　                       
过去的十年内，围绕信息和数据安全问题建立起来的法律法规体系从无到有、不断壮大，其中包括专门针对个人数据保护问题的，也有针对企业财政、运营和风险管理体系建立的法规保障问题的。一套正式规范的信息安全管理体系应当可以提供最佳实践部署指导。目前，建立这样的管理体系逐渐成为诸多合规项目的必要条件，与此同时，针对该管理体系的认证逐渐成为各种组织（包括政府部门）的热门需求，这份认证可以为他们带来重要的潜在商业合同。

ISO27001是信息安全管理体系，这是关于信息风险管理有关的活动。信息安全管理体系是一个总体的管理框架，通过该框架企业可以识别，分析和解决其信息风险。信息安全管理体系与安全威胁，漏洞和业务影响的变化保持同步-这是动态领域中的重要方面，也是灵活的风险驱动方法的主要优势，更多关于ISO27001认证的意义请点此处。

该标准涵盖了所有类型的组织，各种规模以及所有行业或市场。显然，ISO27001信息安全管理体系可以被各行各业广泛的应用。

在当今社会中信息化技术日益发展，水平不断上升，信息安全不断成为人们关注的焦点ISO27001信息安全管理体系提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。

企业申请ISO27000认证的流程大致如下

1企业自身建立ISO27001信息安全管理体系。

2认证机构评估费用和正式审核时间。

3向认证机构递交正式申请

4（可选项）认证机构将进行预审，在正式审核前排除一些重大的确失，同时让客户熟悉审核的方法危险评估，审查方针，范围和采用的程序。检查体系中遗漏和繁琐需要修改的地方。

5（可选项）认证机构将进行预审，在正式审核前排除一些重大的确失，同时让客户熟悉审核的方法危险评估，审查方针，范围和采用的程序。检查体系中遗漏和繁琐需要修改的地方。

6认证机构将进行第二阶段审核，主要进行实施审核，查看程序规定的执行情况。认证机构通常将现场审核并给出建议。

7如果能顺利完成审核，在确定清楚认证范围后，发放信息安全体系证书。在满足持续审核情况下，三年有效。

注意事项

先从自咨询ISO27001信息安全管理体系开始，然后运行ISO27001信息安全管理体系，应有针对性地宣贯信息安全管理体系文件。体系文件的培训工作是体系运行的首要任务，培训工作的质量直接影响体系运行的结果。组织应根据培训工作计划的安排并按照培训程序的要求对全体员工实施培训。通过培训使全体员工认识到新建立或完善的信息安全管理体系是对过去信息安全管理体系的变革，是为了向国际先进的信息安全管理标准接轨，要适应这种变革和新管理体系的运行，就必须认真学习、贯彻信息安全管理体系文件。

加强自身的管理体系水平，不仅是信息安全管理体系试运行本身的需要，也是保证试运行成功的关键。所有与信息安全管理体系活动有关的人员都应按体系文件要求，做好信息安全的信息收集、分析、传递、反馈、处理和归档等工作。信息安全体系文件属于组织的信息资产，包含有关组织的全部安全管理等敏感信息，组织应按照信息分类的原则对其进行分类、进行密级标注并实行严格的安全控制，未经授权不得随意复制或借阅。

解决体系试运行中暴露出的问题，如体系设计不周、项目不全等进行协调、改进。信息安全管理体系的运行涉及组织体系范围的各个部门，在运行过程中，各项活动往往不可避免的发生偏离标准的现象，因此，组织应按照严密、协调、高效、精简、统一的原则，建立信息反馈与信息安全协调机制对异常信息反馈和处理，对出现的问题加以改进，并保证体系的持续正常运行。

实践是检验真理的唯一标准。 体系文件通过试运行必然会出现一些问题，全体员工应将实践中出现的问题和改进意见如实反馈给有关部门，以便采取纠正措施。