北京ISO27001认证流程⭐18734139001

ISO27001 认证全流程注意事项（2022 版标准，2026 审核新规）

一、前期选型：机构与合同避坑（最容易踩坑）

1. 必须选 CNCA 备案、带 ISO27001 认可范围机构

无 CNAS 认可证书招投标、甲方、监管不认可；拒绝境外无证机构、低价套证、买证渠道。

2. 警惕低价套路

低价接单，后期加收加急费、整改费、差旅、年审涨价；合同写明全包总价、3 年服务明细、无隐形收费、整改免费辅导。

3. 拒绝 “快速拿证” 虚假承诺

法定硬性要求体系运行满 3 个月，内审 + 管理评审齐全；承诺 1–2 周取证全部违规，证书可被撤销。

4. 合同明确认证范围

清晰写明：公司地址、业务、系统、云平台、数据类型，不随意扩大 / 缩小；后期新增业务、机房、系统必须报备机构，同步更新 SoA，否则年审开严重不符合。

5. 区分咨询与审核主体

咨询公司不能同时做本企业审核，避免审核公正性失效。

二、体系搭建核心硬性红线（触碰直接不发证）

1. 运行时长硬性要求

• ISMS 体系文件发布后真实运行满 90 天，所有记录同步产生，禁止审核前集中补填、造假记录；日期、签字、逻辑矛盾会判定严重不符合，直接终止认证。

• 必须完成：1 次全覆盖内审 + 1 次高层管理评审，全套资料齐全、有整改闭环证据。

2. 高层责任不可缺位

• 最高管理者签发信息安全方针、任命管理者代表、分配安全预算、参与管评、外审首末次会议；无高层参与、无书面承诺直接判定体系失效。

• 安全不是 IT 单独工作，行政、人事、业务、财务均纳入体系职责。

3. 风险评估 + SoA（体系核心，审核第一重点）

1. 资产清单不能漏：客户隐私数据、服务器、云账号、合同、财务、纸质涉密文件、开发代码、移动介质全部分级分类。

2. 风险评估要有完整流程：识别威胁 / 脆弱点→风险打分→风险处置（规避 / 降低 / 转移 / 接受），高风险必须有落地控制措施。

3. SoA 适用性声明严禁随意删减控制项

删减附录 A 控制措施必须写充分、合理理由；高风险业务不能删减核心控制（访问、备份、加密、事件、供应商安全），逻辑冲突直接开严重不符合。

4. 业务变更、系统上线、新增客户数据业务后，每年更新风险评估与 SoA，不能一套文件用 3 年。

三、文件与记录注意事项（高频不符合项来源）

1. 文件不能照搬模板完全脱离业务

制度贴合自身场景：电商、软件开发、生产、金融管控方式差异极大，模板不改直接使用极易现场翻车。

2. 所有安全活动必须留痕，无记录 = 未执行

必备完整记录：安全培训、权限审批、权限年度复核、备份日志、备份恢复测试、漏洞扫描、应急演练、供应商安全评估、安全事件处置、内审、管理评审。

3. 记录实时填写，杜绝后期统一补做

审核员会核对时间线、人员签字、操作逻辑，造假会直接取消认证资格。

4. 保密文件、介质销毁、机房出入、访客登记台账长期留存。

四、14 个控制域现场实操重点（审核必查雷区）

1）人力资源安全

• 全员签订保密协议、岗位安全承诺书；离职人员账号、云权限、门禁、U 盘全部回收，留存注销记录。

• 定期信息安全培训，有课件、签到、考核，一线员工能简单回答安全要求。

2）访问控制（最高频不符合）

• 最小权限原则，禁止共享管理员账号；定期（至少每年）权限复核并留存记录。

• 服务器、后台、云平台开启双因素认证，禁止弱密码、长期不更换密码。

• 离职、调岗人员权限当日关停，杜绝长期休眠账号。

3）资产管理与备份

• 信息资产台账动态更新，区分涉密 / 内部 / 公开数据。

• 每日自动备份≠合规，必须定期做备份恢复测试，留存测试报告；只备份不测试是典型一般不符合项。

• 废弃电脑、硬盘、U 盘统一销毁，禁止随意丢弃。

4）物理机房安全

• 机房门禁、监控、消防、温湿度管控；机房访客登记、禁止私带 U 盘。

• 机柜上锁，重要服务器与办公网络物理 / 逻辑隔离。

5）供应商 / 外包安全

• 云服务商、开发外包、运维服务商全部做安全评估；合同必须附加信息安全、数据保密条款。

• 外包人员访问内部系统单独授权，离场回收权限。

6）安全事件与应急

• 建立病毒、勒索、数据泄露、系统宕机处置流程；发生事件完整记录、根因分析、整改闭环，不能只写 “加强培训”。

• 每年至少 1 次应急演练（宕机 / 数据泄露），留存方案、签到、照片、演练总结与改进措施。

7）加密、开发、运维合规

• 客户隐私数据传输、存储加密，关闭老旧不安全加密协议（TLS1.0/1.1）。

• 软件公司需代码安全测试、上线变更审批流程；云存储禁止公开可读权限。

8）合规性管理

• 定期梳理《网络安全法》《数据安全法》《个人信息保护法》等法规，每年做合规性评价报告。

五、现场外审接待注意事项

1. 提前安排：管理者代表、IT 负责人、人事、行政、业务主管全程在场，随时配合访谈。

2. 员工提前培训基础安全常识：保密义务、密码规则、离职清权、上报安全事件渠道。

3. 机房、档案室、服务器提前整理，监控、门禁、备份记录分类归档，方便抽查。

4. 如实回答审核员问题，不隐瞒、不编造；出现不符合项主动接受整改，态度配合可缩短整改周期。

5. 严重不符合项：必须关闭并复核才能发证；一般不符合项限期提交整改证据。