1、ISO27001信息安全管理体系咨询计划安排 体系策划 阶段 编号工作任务 WBS 分解 咨询公司投入 甲方参加人员说明 计划投入（天） 工期咨询师开始时间 1 对公司进行信息管理现状调查， 了解公 司现有经营战略、规划、组织、资源的 理解，确定目标， 初步确定过程改进的 体制，明确过程推进核心小组组长和成 员 2 天DXC 10.8.1 管理者代表、 主管部门负责人 进行信息安全管理制度以及其他管理 性文件的收集，包括公司经营战略订 定，规划方式，相关单位的权责与接 口 2 明确 ISMS所覆盖的组织内部的范围 管理者代表、 主管部门负责人 对于覆盖的范围进行确认，并规划 ISMS涉及的组织
2、范围，以保证体系的 系统性 3 成立 ISMS推进领导组、推进小组 最高管理者、管理 者代表保证体系的顺利贯彻、执行 4 项目启动会全体员工参加保证体系的顺利贯彻、执行 标准培训 及风险评 估阶段 5 ISMS标准及内审员培训3 天DXC 2010.8 上 旬 全体员工参加1 天，各部门指定的 体系负责人、内审 员 3 天均参加 让参与信息安全管理的人员了解信息 安全管理的要求，内审员掌握标准及 审核知识，培养体系运行骨干 6 信息安全风险识别及评估方法培训2 天DXC 标准培训 后一周左 右 管理者代表、主管 部门全体、各部门 指定体系负责人 建立风险意识，为全面识别信息安全 风险做准备 7
3、 信息安全风险识别、差距分析 10 天 DXC 2010-8 中、下旬 管理者代表、主管 部门全体、各部门 指定体系负责人 所有涉及到信息管理的部门、人员、 流程全部参与，保证尽量无遗漏的识 别出信息安全风险。 进行漏洞扫描，以便掌握当前设系统 的安全状态 从安全制度建立、安全管理机构、资 金保障、人员安全管理、系统建设管 理、系统运维管理等方面进行差距分 析 8 信息安全风险评估DXC 2010-8 中、下旬 管理者代表、主管 部门全体、各部门 指定体系负责人 根据公司信息安全管理目标要求对风 险等级进行划分，以便针对不同级别 风险，实施相应的控制手段，形成资 产清单、重要资产清单，风险评估
4、报 告、风险建议残余风险报告 文 件 编 写 阶段 9 建立 ISMS文件框架DXC 2010.9.1 -9.30 管理者代表、主管 部门全体或文件 编写组 根据风险评估的结果以及公司的组织 架构，确定体系文件的框架 10 ISMS文件的编写13 天DXC 主管部门或文件 编写组 可以采取两种不同的方式完成体系文 件的编写，其一为统一确定编写小组 成员集中编写，也可按照职能分配到 各个部门进行编写，建议集中编写更 适合该体系。 ISMS文件包括手册、信 息安全风险评估程序、信息安全控制 措施测量程序、计算机网络安全防护 程序、物理和环境安全管理程序、计 算机病毒安全防护程序、访问控制程 序、信
5、息系统备份和恢复管理程序、 文件控制程序、记录控制程序、内部 审核程序、管理评审程序等，以及信 息安全组织、信息安全职责要求、服 务器配置和安全管理规定、移动存储 介质安全管理规定、资产安全管理规 定、网络设备安全管理规定、信息分 级保护管理规定等作业文件，有效文 件共 70 分左右，作业表单约90 份左 右，当然这只是经验值，具体操作要 按贵公司的实际情况进行调整。 11 文件审查2 天DXC 管理者代表 咨询师负责审查对标准的符合性，公 司相关人员负责审查可操作性 12 文件修订及发布DXC 管理者代表、主管 部门或文件编写 组保证文件的可执行性 体 系 试 运 行阶段 13 ISMS实施
6、宣贯培训1 天DXC 2010.10. 1-2011.1 .1 管理者代表、主管 部门全体、各部门 指定体系负责人 让所有涉及的人员了解自身的信息安 全管理职责、控制要求，保证体系的 贯彻、执行 14 制定 ISMS体系试运行计划1 天DXC 管理者代表 包括各部门运行成果要求、 内审计划、 管理评审计划 15 内审3 天DXC 内审员 需要进行 1-2 次内部体系运行的审核， 发现体系运行当中的问题， 采取纠正、 预防措施加以整改，保证体系运行的 符合性以及有效性 16 管理评审1 天DXC 领导层 评估 ISMS运行的成果， 需要解决的重 点问题，决定是否可以提请外审 改善计划 17 制订
7、改善计划 1 天 DXC 20111 上旬 管理者代表 咨询组根据体系的运行情况，做好体 系改善计划，通过体系改进，可以帮 助组织提升对体系的认识，以便顺利 接受正式审核 18 提交体系运行总体情况报告DXC 管理者代表提出体系运行总体情况汇报。 19 采取纠正措施2 天DXC 相关部门不断的过程改进要求 正式审核 阶段 20 接受认证结构正式评估计划 认证机 构 2011.1 中 下旬 领导层、全体部门 正式审核工作按照国家规定的审核人 日管理要求实施，要标准的实施流程 以及标准的工作文档，审核结论可以 为：通过、不通过或延期通过三种， 我们保证组织在我们双方的积极配合 和努力下顺利通过认证审核，获得认 证证书。 21 按照正式审核计划进行相应的备审工 作 22 正式现场审核 23 审核问题纠正 24 颁发 ISMS认证证书 培训分三个阶段： 1、信息安全管理体系标准及内审员培训 2、信息安全风险识别及评估培训 3、体系运行宣贯培训
