ISO/IEC 27001 信息安全管理体系认证指南

一、ISO27001基础概念

ISO/IEC 27001，全称信息安全管理体系（ISMS），现行有效版本 ISO/IEC 27001:2022，替代旧版2013版本。配套规范ISO27002作为控制措施实施指南。

标准基于PDCA循环，采用高阶结构（Annex SL），可以和ISO9001、ISO14001、ISO45001一体化整合认证。核心目标：建立系统化信息安全管控机制，保障保密性、完整性、可用性（CIA三元组）。

二、适用申请主体范围

✅ 适合推行&认证企业

❌ 认证范围常见限制说明

• 认证范围可以选取：全公司 / 某个事业部 / 特定系统平台；不允许碎片化随意拆分；
• 无信息化系统、不存储电子数据的纯线下实体工厂可办理，但审核重点偏向纸质资料保密、访问管控；
• 个体工商户多数认证机构不受理，优先有限公司主体。

三、ISO27001:2022四大控制域（审核核心）

新版标准将93项安全控制措施划分为四大领域：组织、人员、技术、物理；区别旧版14个章节结构。

四、申请ISO27001认证前置条件

1. 合法注册企业法人，具备独立运营场所；明确认证范围对应的业务流程与信息资产；
2. 建立完整ISMS信息安全管理体系，体系有效运行满3个月以上；
3. 完成信息资产盘点、信息安全风险评估、风险处置计划（风险处理方案）；属于审核硬性资料；
4. 实施全覆盖内部审核；最高管理者组织开展管理评审；关闭内审所有不符合项；
5. 按照控制措施落实相关制度：权限管理、备份、日志、应急演练、离职账号清理、供应商安全协议；
6. 能够提供体系运行期间各类记录：培训记录、漏洞扫描、备份记录、应急演练、安全事件处置记录。

五、ISO27001认证办理完整流程

1. 第一步：梳理业务边界，确定ISMS认证范围，开展现状诊断差距分析；
2. 第二步：盘点软硬件、数据、文档等信息资产，识别安全风险，编制风险评估报告与风险处置计划；
3. 第三步：编写信息安全方针、程序文件、管理制度、操作规范、各类表单模板；
4. 第四步：体系落地试运行，持续积累安全运行记录，最低完整运行3个月；
5. 第五步：组织内部体系审核，高层召开管理评审，持续改进体系缺陷；
6. 第六步：向CNAS认可认证机构提交申请；一阶段评审文件完整性，二阶段现场审核实地核查执行情况；
7. 第七步：针对审核开具不符合项按期整改验证；评定通过后颁发ISO27001信息安全管理体系证书。

六、证书有效期、监督、再认证规则

七、企业取得ISO27001证书核心价值

八、高频常见问题FAQ

九、体系两张皮风险提示

仅拿证不落地体系，一旦遭遇客户安全审计、监管数据专项检查，无法提供真实运行记录，等同于无体系。审核重点核查：资产清单、风险评估报告、定期备份记录、账号权限清理、安全事件处置、应急演练原始材料。

发生重大数据泄露事件，监管机关会核查企业是否建立并有效落实信息安全管理制度，缺失体系运行证据会加重行政处罚。