| ①キックオフ | ISO27001の理解 |
| ②スケジュール策定 | ISMSの構築・運用から申請までのスケジュールを策定します。 |
| ③タクスフォース（主管部）の設置 | 管理責任者や事務局担当者を決めます。 |
| ④ISMS適用範囲の決定 | 事業の特徴、組織、その所在地、資産および技術の観点から、ISMSの適用範囲を決定します。 |
| ⑤情報セキュリティポリシーの策定 | 事業および法規制等からの要求事項を踏まえ、組織としての情報セキュリティの目的および目標等の基本的な考え方を基本方針書として作成します。 |
| ⑥情報資産の洗い出し作業 | 適用範囲内における情報資産の棚卸作業を実施します。 |
| ⑦リスク分析 | 洗い出された情報資産の価値、脅威、脆弱性を明確にし、リスク分析を実施します。 |
| ⑧リスクの評価と管理策の選択 | リスクの評価を行い、適切な管理策を選択し適用宣言書を作成します。 |
| ⑨規程、手順書等のISMS文書作成 | 情報セキュリティ規程、ISMS文書管理手順書、リスクアセスメント手順書、教育・訓練手順書などの必要な文書の作成と関連帳票を作成します。 |
| ⑩監査及び教育計画書の策定 | 監査、教育計画を策定します。 |
| ⑪運用 | ISMS運用を開始します。 |
| ⑫内部監査 | チェックリスト等を活用した部署毎の内部監査を実施します。 |
| ⑬是正処置及び予防処置 | 内部監査による不適合項目に対する是正及び予防処置を講じます。 |
| ⑭代表者による見直し | 代表者による見直しをします。 |
| ⑮申請準備 | 申請書類を作成します。 |
| ⑯申請 | 申請書を提出します。 |
| ⑰書類審査 | 書類審査で受けた指摘事項に対する是正対応をします。 |
| ⑱現地審査 | 現地審査で受けた指摘事項に対する是正対応をします。 |
