1. ابتدا سازمانی که قصد دارد سیستم مدیریت امنیت اطلاعات (ISMS) را در سازمان خود پیاده سازی کند نیاز خود را با یک شرکت مشاور در زمینه پیاده سازی امنیت اطلاعات ( مانند امن پردازان کویر) مطرح می کند.
2. شرکت مشاور پس از بررسی وضعیت سازمان و فاصله آن تا برآورده شدن استاندارد از طریق ارزیابی های گوناگون، در جلسه هیأت مدیره بیانیه خط مشی امنیت اطلاعات سازمان را تبیین می کند.
3. سپس با توجه به محدوده سازمان، الزامات و مقررات، اهداف کلی کسب و کار، تهدیدات شناسایی شده برای دارایی های اطلاعاتی و آسیب پذیری های موجود، کنترل های امنیتی متناسب تحت عنوان بیانیه کاربست پذیری (SOA) بر اساس استاندارد های ISO 27001 ایجاد می شود.
4. در گام بعدی ممیزی های لازم جهت حصول اطمینان از درستی عملکرد کنترل ها از سمت شرکت مشاور انجام می پذیرد.
5. از یک سرممیز بین المللی که به CB مشهور است جهت بازرسی های لازم و اخذ گواهی ISO/IEC27001:2013 دعوت به عمل می آید.

در صورتی که همه کنترل های امنیتی به درستی اجرا شده باشد، گواهی نامه برای سازمان صادر می شود.

هر سازمانی که به نوعی با امنیت اطلاعات سر و کار دارد و دارایی های اطلاعاتی خود را مهم تلقی می کند، و همواره از دست رفتن و یا افشاء اطلاعات را یکی از تهدیدات مهم درکسب و کار خود قلمداد می کند می تواند از پیاده سازی ISMS بهره ببرد. شرکت های تجاری، تولیدی و خدماتی، بنگاه های مالی، بانک ها و موسسات دولتی و … از نمونه کسب و کارهایی هستند که دارای اطلاعات با ارزشی هستند و پیاده سازی ISMS می تواند در حفظ و حراست داده های اطلاعاتی این سازمان ها بسیار مؤثر باشد.

خیر. در کشور ما پیاده سازی ISMS یک اجبار نمی باشد مگر در سازمان های دولتی که در برنامه پنجم توسعه هیأت دولت پیاده سازی سیستم مدیریت امنیت اطلاعات برای ایشان الزامی شده است. اما اخذ گواهینامه ISO و پباده سازی ISMS در سازمان دارای مزایای بسیار زیادی است:

• به حداقل رسیدن خطرات از دست رفتن و افشاء اطلاعات حیاتی سازمان
• کسب اعتبار در حوزه کسب و کار و ایجاد اطمینان در سهامداران، شرکاء تجاری، سرمایه گزاران و کاربران از اینکه اطلاعات آنان در سازمان به طور امن نگهداری می شود.
• برآورده سازی الزامات قانونی، قوانین و مقررات سازمان های بالادست، منطقه ای و کشوری و همچنین برآورده سازی الزامات قانونی مصوبه هیأت دولت
• کاهش هزینه های ناشی از دست رفتن اطلاعات، افشاء، آسیب دیدگی و یا سرقت اطلاعات
• ارتقاء سطح آگاهی امنیتی کاربران و شبکه ‌های کامپیوتری و ایجاد راهکارهای الزام کارکنان و مدیران نسبت به رعایت مسائل امنیتی.

ابتدا شرکت مشاور در جلسه های هیأت مدیره، محدوده سازمان را مشخص می کند. محدوده سازمان شامل اهداف کلی، فرآیندها، الزامات قانونی و قراردادی، مکان جغرافیایی، پرسنل و … می شود.

سپس دارایی های اطلاعاتی موجود در این محدوده شناسایی می شود.

در گام بعدی تهدیدات و آسیب پذیری هایی که منجر به از دست رفتن محرمانگی، دسترسی پذیری و یکپارچگی اطلاعات سازمان می شود شناسایی، تحلیل، و ارزیابی می شود

و برای مقابله با این مخاطرات قوانینی تحت عنوان کنترل ایجاد شده و مستند می گردد.

این قوانین می بایست مطابق با محدوده سازمان و همینطور الزامات قانونی و قراردادی سازمان، سازمان های بالادست، منطقه ای و کشوری باشد.