Projekthantering - Revisionshantering - Avvikelsehantering - Systemutveckling

Verksamhetens ledning sätter sig in i standarden SS-ISO/IEC 17799.
Ledningen skriver en säkerhetspolicy där ansvaret och befogenheter för säkerhetsfrågorna fördelas på olika personer i organisationen, en säkerhetsorganisation skapas.
I policyn läggs också fast de grundläggande riktlinjerna, t.ex. vissa miniminivåer för säkerheten och vissa grundläggande prioriteringar. Här bör också beslutas hur policyn ska kommuniceras ut i organisationen.
När det finns en organisation och policy fördelas arbetet på dem som utsetts som ansvariga för olika delar av verksamheten. De ska stegvis gå igenom standardens kapitel.
Utifrån ansvarsfördelningen gör de utsedda personerna en inventering och klassificering av tillgångarna. En riskanalys görs.Värderingen av tillgångarna och riskerna är grunden för en bedömning av vilka åtgärder som ska vidtas och av vem.

Många av åtgärderna kan vara konkreta inköp av program för virusskydd, säkrare placering av säkerhetskopior av data. Men det är också viktigt att i skriftliga rutiner slå fast hur arbetet måste bedrivas för att bli säkert, t.ex. frågor om behörigheter, krav på kompetens, utbildning, uppföljning och rapportering.
Utbilda all personal i säkerhetsfrågor:Alla måste känna till organisationen för säkerhetsfrågorna, vem som ansvarar för vad och de grundläggande principerna.Alla måste känna till de säkerhetsrutiner som berör den egna befattningen.
Kontrollera efterlevnaden.Att fortlöpande följa upp att såväl policy som rutiner följs är en viktig del i systemtänkandet. Det bör finnas skriftliga rutiner för hur detta ska skötas.
Uppföljning. I ett ledningssystem för informationssäkerhet ska ligga i rutinerna att alla delar från policy till inventering och värdering av tillgångar, riskanalys, kontinuitetsplanering etc måste uppdateras och förbättras hela tiden. Med jämna mellanrum bör de ses över helt. Utbildning måste ske kontinuerligt av nyanställda och de som t.ex. får ändrade arbetsuppgifter. Allt eftersom verksamheten och säkerhetskraven ändras måste utbildningen också upprepas.