ISO27001（ISMS 信息安全管理体系）全套认证材料清单

按基础资质、体系文件、3 个月运行记录、内审 + 管理评审、现场配套资料五大类整理，初次认证全部需要，证书 3 年有效期，年审只需当年运行记录。

一、企业基础资质材料（申请认证必交，加盖公章）

1. 营业执照清晰复印件（有效期内，经营范围匹配认证业务）

2. 组织架构图、部门职能说明书、信息安全岗位权责矩阵

3. 场地证明：租赁合同 / 产权证明、办公 / 机房平面图

4. 公司简介、主营业务流程图、本次认证范围说明（如软件开发、数据运维、电商服务）

5. 行业专项资质（有则提供）：ICP、等保测评报告、软件企业证书、涉密相关资质

6. 法人身份证复印件、管理者代表任命文件（统筹信息安全体系）

二、一级 / 二级体系文件（标准强制文件，缺一不可）

1. 顶层核心文件

1. ISMS 信息安全管理手册：体系范围、方针、组织职责、标准条款对应框架、整体管控逻辑

2. 信息安全方针：最高管理者签字发布，明确安全承诺、可量化安全目标

3. 适用性声明 SoA（核心强制文件）逐条列明 Annex A 14 域 114 项控制措施，标注适用 / 删减，写明删减理由、落地状态

4. 风险评估全套资料

• 风险评估方法准则

• 全公司信息资产台账（客户数据、服务器、云账号、合同、财务资料等分类分级）

• 威胁、脆弱性识别表、风险分析评价报告

• 风险处置计划：规避 / 降低 / 转移 / 接受四类处置方案、整改责任人、完成时限

5. 信息安全目标文件（可量化，如漏洞整改完成率、数据备份达标率）

2. 10 套强制程序文件

1. 文件与记录控制程序

2. 风险评估与风险处置程序

3. 内部审核程序

4. 管理评审程序

5. 不符合、纠正与改进措施程序

6. 访问控制管理程序

7. 信息安全事件处置程序

8. 业务连续性与应急管理程序

9. 供应商第三方安全管理程序

10. 合规性评价程序（网络安全法、数安法、个保法等）

3. 三级管理制度 / 作业指导书（覆盖 14 大控制域）

• 人力资源安全：入职背景审查、保密协议、离职权限回收规范

• 资产管理：数据分级、介质销毁、设备台账管理

• 访问控制：账号申请 / 变更 / 注销、密码策略、双因素认证、权限定期复核

• 物理安全：机房门禁、监控、消防、访客管理规范

• 运维安全：服务器巡检、漏洞扫描、数据备份、系统变更管理

• 加密管理、开发安全、外包供应商安全、安全培训、应急演练制度等

三、体系运行记录（硬性要求：完整运行满 3 个月，所有记录可追溯）

1. 人员安全类

• 全员信息安全培训计划、签到表、培训课件、考核试卷、培训照片

• 员工保密协议、岗位安全承诺书、离职人员权限注销记录

2. 资产与访问类

• 信息资产清单更新记录、资产盘点表

• 账号权限审批单、权限定期复核记录、离职账号关停台账

• 办公电脑、服务器、云设备台账、设备出入登记

3. 运维与数据安全类

• 服务器巡检日志、防火墙 / 网络设备运维记录

• 定期漏洞扫描报告、渗透测试报告

• 数据备份日志、备份恢复测试记录

4. 事件与应急类

• 信息安全事件台账（钓鱼、病毒、数据泄露、系统宕机）、处置闭环记录

• 应急演练方案、签到、现场照片、演练总结整改报告

5. 供应商合规类

• 外包 / 云服务商安全评估表、合同安全条款、第三方安全巡检记录

6. 合规类

• 法律法规清单、年度合规性评价报告

四、审核必备闭环材料（外审重点核查）