随着信息技术的飞速发展和内外部环境的剧变,企业信息安全形势日趋严峻。如何建立有效的信息安全管理体系已成为企业管理者非常关注的话题。标准体系作为信息安全建设时的重要参考依据,对于企业建立信息安全体系、提升安全管理水平发挥了重要作用。实践中,基于标准体系的信息安全建设过程已相对成熟,但在具体实施环节上,还存在一些难题和挑战。本研究总结了基于ISO27001标准的信息安全体系建设项目的一般过程,对其中的信息安全风险评估、安全规划建设、安全体系测量评价等主要环节的方法过程分别展开研究:对信息安全风险评估的理论、概念、方法进行总结对比,对安全项目建设的特点进行分析,并对信息安全测量评价相关的过程、模型及方法进行梳理。结合项目实践,对信息安全风险评估、安全项目规划、安全体系有效性测量方法的设计与应用的方法过程进行了实证研究,以供相关企业及从业人员参考。