信息技术极客们往往深信可以通过技术创新来改变现状和造福人类，可在现实生活中，众多社会问题明明可以通过有效的信息技术手段来解决，但为什么总是阻力重重，“理想很丰满，现实很骨感”呢？

要说是既得利益者的势力过于强大那只是弱者的借口，当一项新事物出现时，旧体制下的既得利益者有两种心态，迎合及阻拦。当创新技术有足够的颠覆力之时，看不到历史大趋势的顽固阻力几乎可以让人忽略。如果不是颠覆性的创新，信息技术极客们就不能过度相信旧体制下的既得利益者会积极迎合自己啦。

在计算机网络信息安全领域，类似的情景也在上演。昆明亭长朗然科技有限公司的企业信息安全管理顾问James Dong说：在面对导出不穷的安全事件时，IT安全管理员可能发现技术方面的控管措施并不足够，而更多需要针对人员的在流程和制度方面的标准化管理，同时在IT人员在职业发展层面也期望更上一层楼，于是IT安全从业人员们将目光转向信息安全管理系统ISMS实施领域。

IT人员不甘平庸，追求上进的精神风貌很值得肯定和赞扬，但是仅仅依靠热情和勇气并不足够。无疑，我们需要正确的方法，要有效建立和实施一套信息安全计划并不像上线一台防火墙、IPS或员工上网行为管理系统那么轻易。特别对于多数组织来讲，ISMS信息安全管理系统并非强制性必须遵守的法规。相比于一套几乎透明到无人知晓的IPS系统，ISMS更多像是在进行业务流程的梳理和再制——所有在范围之内的人员都会受到影响，都要被“搞定”。

如何开始呢？亭长朗然公司James分享如下经验：

1.获得高管的认可和赞助，信息安全和组织管理悉悉相关，IT人管理机器没问题，在部门内部推动一项计划也不用花费太大力气。要跨部门，跨站点甚至跨业务单元去推动一个项目，谁听您的啊？所以需要高层认可和赞助，拿到尚方宝剑。如果高管对此不理解，那IT安全人得让高管理解，如果高管理解了，但不买您，可能是时机不能，先等一等，多次尝试后还不行，那就只能选择放弃，因为ISMS要取得成功，一定是由上至下推动的，几乎没有由下至上推的成功案例。

2.开发制作用于实施安全政策、标准和法规遵从程序的实用指南，ISMS不是靠“人治”，而是靠“法治”，所以，需要符合ISMS要求的文件体系。简单说，需要发布精要的高端的信息安全战略方针，并且发布针对全员的安全手册，还得要求各部门制定本部门工作相关的安全操作流程。

3.确保有必要的物理安全控制措施并且有一个紧急事件响应团队，物理安全有时可能不被信息系统人员所重视，然而物理安全出现问题，会让信息安全失去根基。应急响应团队不仅来应对各类安全突发事件，也是和内部人员进行有效安全沟通，解决一线安全隐患和安全问题的关键力量。

4.采取灾难恢复计划和业务持续性计划的关键步骤，要信息安全与业务安全的目标和战略保持一致，让信息安全和业务单元的中高阶管理层有共同语言，能够相互理解和支持，并且建立起和谐的关系，这些关键的步骤一个都不能少。

5.确保计算机网络安全，守住IT人员的大本营，别让病毒代码过期了几个月、防火墙规则几年都没人看、员工偷偷使用非授权的代理服务器软件等等这类信息安全事件发生。

通过如上五点措施，即使是从零开始的信息安全管理体系建设，也应该能够在正确的方向指引之下，获得一个及格分。ISMS的提升是永不停步的，借助PDCA方法，可以不断获得改进。