ISO27001验证体系基本建设分成四个环节：执行安全性风险评价、整体规划体系建设规划、创建信息安全管理方法体系、体系运作及改善。也合乎信息安全管理方法循环系统PDCA(Plan-Do-Check-Action)实体模型及ISO27001规定，即合理地维护企业信息系统的安全性，保证信息安全的不断发展趋势。
1、建立范畴
**是建立新项目范畴，从组织层级及系统软件层级2个层面开展范畴的区划。从组织层级上，能够 考虑到內部组织：必须遮盖企业的每个部门，其包含总公司、业务部、生产制造总部、技术性总部等;外界组织：则包含企业信息系统相接的外界组织，包含经销商、信贷业务合作方、以及他合作方等。
从系统软件层级上，可依照物理学自然环境：即支撑点信息系统的场地、所在的周围环境及其场地内确保计算机软件一切正常运作的设备。包含主机房自然环境、门禁系统、监管等;应用系统：组成信息系统数据传输自然环境的路线物质，机器设备和手机软件;网络服务器服务平台系统软件：支撑点全部信息系统的网络服务器、计算机设备、远程服务器以及电脑操作系统、数据库查询、分布式数据库和Web系统软件等软件系统系统软件;软件系统：支撑点业务流程、办公室和管理方法运用的软件系统;数据信息：全部信息系统中传送及其储存的数据信息;安全工作：包含安全设置、管理制度、工作人员机构、开发设计安全性、新项目安全工作和管理信息系统工作人员在日常运维管理全过程中的安全性合规管理、网络安全审计等。
2、安全性风险评价
企业信息安全就是指确保企业业务管理系统不被非法访问、运用和伪造，为企业职工给予安全性、可靠的服务项目，确保信息系统的易用性、一致性和安全性。
此次开展的安全风险评估，关键包含两层面的內容：
2.1、企业安全工作类的评定
根据企业的安全管理现状调查、采访、文本文档细读和ISO27001的**实践核对，及其在领域的工作经验上开展“差别剖析”，查验企业在安全管理方面上存有的缺点，进而为安全防范措施的挑选给予根据。
评定內容包含ISO27001所包含的与信息安全管理方法体系有关的11个层面，包含信息安全对策、安全性机构、资产分类与操纵、工作人员安全性、物理学和环境安全管理、通讯和实际操作管理方法、密钥管理、系统软件开发与维护保养、安全事故管理方法、业务连续性管理方法、合乎性。
2.2、企业安全性技术专业评定
根据财产安全级别的归类，根据对信息机器设备开展的安全性扫描仪、安全防护设备的配备，查验剖析目前计算机设备、网站服务器、终端设备、网络信息安全构架的安全性现况和存有的缺点，为安全性结构加固给予根据。
对于企业具备象征性的重要运用开展安全风险评估。重要运用的评定方法选用网站渗透测试的方式 ，在运用评定里将对软件系统的威协、缺点开展鉴别，剖析其和软件系统的安全计划中间的差别，为中后期更新改造给予根据。
提及安全风险评估，一定要有科学方法论。大家以ISO27001为关键，并参考国际性常见的几类评定实体模型的优势，另外融合企业本身的特性，创建风险评价实体模型：
在风险评价实体模型中，关键包括信息财产、缺点、威协和风险性四个因素。每一个因素有分别的属性，信息财产的属性是财产使用价值，缺点的属性是缺点在目前控制方法的维护下，被威协运用的概率及其被威协运用后对财产产生危害的比较严重水平，威协的属性是威协产生的概率以及伤害的比较严重水平，风险性的属性是风险性等级的多少。风险评价选用判定的风险评价方式 ，根据等级分类其他方法开展取值。
3、整体规划体系建设规划
企业信息安全难题根本原因遍布在技术性、工作人员和管理方法等好几个方面，须统一规划并创建企业信息安全体系，并最后贯彻落实到管理方法对策和技术措施，才可以保证信息安全。
整体规划体系建设规划是在风险评价的基本上，对企业中存有的安全隐患明确提出安全性提议，提高系统软件的安全系数和抗攻击能力。
在未来1-2年内根据信息安全体系制的创建与执行，创建安全性机构，技术性上开展网络安全审计、內外网防护的更新改造、网络安全产品的布署，完成以步骤为导向性的转型发展。在未来的 3-5 年之内，根据健全的信息安全体系和相对应的物理学自然环境更新改造和业务连续性新项目的基本建设，将企业基本建设变成一个重视管理方法，防患于未然，预防融合的优秀型企业。
4、企业信息安全体系基本建设
企业信息安全体系创建在信息安全实体模型与企业信息化的基本上，创建信息安全管理方法体系关键能够 更强的充分发挥六层面的工作能力：即预警信息(Warn)、维护(Protect)、检验(Detect)、反映(Response)、修复(Recover)和还击(Counter-attack)，体系应当兼具攘外和安内的作用。
安全性体系的基本建设一是涉及到安全性管理方案基本建设健全;二是牵涉到信息安全技术性。**，对于安全性管理方案涉及到的具体内容包含企业信息系统的整体安全方针、安全生产技术对策和安全性管理模式等。安全性整体战略方针涉及到安全性组织架构、安全性管理方案、工作人员安全工作、安全性运作维护保养等层面的规章制度。安全生产技术对策涉及到信息域的区划、业务流程运用的安全级别、安全性维护构思、说及其进一步的统一管理方法、系统软件等级分类、互联网互连、容灾备份、集中化监管等层面的规定。
次之，信息安全技术性按其所属的信息系统层级可区划为物理学安全生产技术、网络信息安全技术性、系统优化技术性、运用安全生产技术，及其安全性基础设施建设服务平台;另外依照安全生产技术所给予的作用又可区划为防止维护类、检验追踪类和回应修复类三大类技术性。