通常企業都會通過聘請外部顧問以項目的形式，來進行自身信息安全管理體系的建設，咨詢顧問與企業內體系推進人員共同進行體系的策劃、風險評估、體系文件編寫、風險管控措施規劃，當體系建立完成后，最終由企業內部推行人員自行維護，推動體系的正常運轉。通過這種方式來進行體系的建設，能夠最大程度發揮咨詢顧問的經驗，使企業不會在體系的建設過程中迷失方向，但是，在項目結束咨詢顧問撤場后，企業內部體系推行人員卻顯得無所適從，或者在體系的推行過程中顯得并不是非常的得心應手，問題在哪里呢?主要是以下幾個方面：

　　首先，在風險處置過程中所輸出的眾多信息安全管控措施難以統一規劃，并且缺少各項控制措施與信息安全風險的一一對應。

　　眾所周知，在風險評估的過程中將會全面、系統地對企業的各項信息資產進行詳細的風險分析，系統的分析出企業所面臨的各項風險，并對各項風險采取合理、有效的管控措施。在風險評估的過程中，企業所面臨的信息安全風險的類別，以及每一類信息風險中實際風險的個數無疑是非常大的，并且不同類別的信息安全風險所采取管控措施的優先級也有很大的差別，如何對數量龐大的風險及管控措施進行合理的規劃，對于企業來說無疑是一個很大的難題，尤其對于組織規模比較龐大的企業更是如此，因此如何對風險評估后的管控措施進行統一、合理的規劃至關重要。

　　其次，信息安全管理體系中的各級文件、模板及記錄很難有條理地進行管理。

　　信息安全管理體系擁有為數眾多的文檔化的方針、策略、規范、制度，并在體系運行的過程中將產生大量的記錄，如何對這些文件進行分門別類的管理，并且很好的對其中的邏輯性與一致性進行控制，這對于體系維護人員來講是一個不大不小的難題。

　　最后，體系實施及運作過程中關鍵的活動(如體系測量、組織內審、管理評審等)的策略、實施、記錄很難系統化、程序化。

　　信息安全管理體系在進行PDCA循環運行中，控制措施測量、內審及管理評審是體系進行持續改進的發動機，但是，由于這些活動關系到企業的各個部門，組織、策劃、協調起來非常的困難，因此，如何將這些活動的組織策劃自動化、實施程序系統化，并且實施過程記錄完整化是體系推行人員一個非常大的挑戰。

　　如何對上面提到的這些問題進行有效的規避，即要發揮傳統咨詢模式的優點，又能夠避免傳統咨詢模式的不足，使企業的信息安全管理體系實施更加有效呢?我們建議企業需形成完善的信息安全體系建設方法論，通過結合IT風險控制體系建設流程及知識庫，只有這樣才能有效滿足各級組織的IT風險控制體系建設需求。

　　為此，信息安全體系建設系統應該包括安全體系規劃、安全體系設計、安全體系實施以及安全體系保障四個主要模塊。功能分別如下：

　　1) 安全體系規劃：分析識別出的信息安全改進措施，將需要增加或改進的措施分解成一項項任務或項目，明確每個任務或項目的目標、工作內容，分析任務或項目的實施優先級，根據實施優先級規劃這些任務或項目的實施時間、實施范圍及參與人員。

　　2) 安全體系設計：建立體系相關部門、人員、職責及聯系信息，體統管理各類方針、策略、程序及作業指導書的模板及具體文件的歸檔、版本控制。

　　3) 安全體系實施：將各個任務實施的情況記錄到系統中，對各項任務的實施的狀態執行有效跟蹤，并且評價各個任務實施的有效性。

　　4) 安全體系保障：對體系內部審核、外部審核及管理評審等活動進行組織、策劃、協調，并對內審、外審、管理評審的過程進行記錄，對各不符合項及預防措施進行記錄及狀態跟蹤。

　　綜上所述，今天企業的信息安全體系建設系統只有充分與信息安全管理體系咨詢方法論進行結合，對體系建設過程提供完整的安全規劃方法論，有效提高安全規劃的合理性，提供內部審核、管理評審、外部審核等管理活動支持，才能保障體系的有效實施。