北京ISO27001信息安全管理体系⭐18734139001

ISO27001（ISO/IEC27001:2022）完整认证流程⭐18734859001

阶段一：前期策划与体系搭建（企业内部实施阶段）

1. 管理层立项，确定认证范围

高层确认信息安全方针；明确纳入体系的业务、场所、部门；确定管理者代表。范围后续直接打印在证书上，范围不要盲目写大。

2. 差距分析（现状评估）

对照标准梳理企业现有安全现状，识别缺失制度与管控点。

3. 资产盘点 + 风险评估

梳理服务器、系统、客户数据等信息资产；识别威胁、漏洞；输出风险评估报告、风险处置计划。

4. 编写体系文件

编制信息安全手册、程序文件、管理制度；输出核心文件 SoA 适用性声明（附录 A93 项控制，写明适用 / 不适用及排除理由）。

5. 体系试运行（硬性：至少运行 3 个月）

落地各项安全管控；收集运行证据：安全培训、权限审核、数据备份、安全事件处置、应急演练记录。

6. 完成内审 + 管理评审（必须做完，才能申请认证）

• 内审：内部审核，发现问题整改闭环，出具内审报告

• 管理评审：最高管理者主持评审体系有效性，出具管理评审报告

✅完成以上之后，才可以找认证机构提交认证申请。

阶段二：提交申请，选择正规认证机构

⚠️一定要选认监委备案可查询的认证机构；

提交资料：营业执照、确定的认证范围、全套体系文件（手册、风险评估、SoA、内审、管评报告），签订认证合同。

阶段三：外部审核（分一阶段、二阶段，两阶段间隔≥5 个工作日，不能同一天做完）

✅一阶段审核（文件审核 + 现场初步走访， readiness 审核）

重点审核体系设计是否合规；核查风险评估、SoA、内审、管理评审是否完成；

不是正式发证审核！

输出一阶段报告，指出文件与准备上的问题；企业完成整改之后，才安排二阶段现场审核。

✅二阶段审核（正式现场审核，拿证关键）

审核组上门现场审核；首次会议→现场巡查机房、办公环境；人员访谈；抽查全部体系运行记录；末次会议开出审核发现。

两类不符合项：

1）一般不符合项：限期（一般 15‑30 天）提交整改证据闭环；

2）严重不符合项：体系存在重大失效，无法直接推荐发证，需要重新审核。

阶段四：整改、技术评审、发证

1. 企业针对二阶段不符合项落实整改，提交整改资料；

2. 认证机构内部技术评审；

3. 公示（一般 5 个工作日）；公示无异议后颁发证书；证书同步上传国家认监委平台可查询。

阶段五：证书后续维护（3 年证书周期）

• 第 1 年、第 2 年：监督审核（年审），不能暂停；不做年审证书暂停、撤销；

• 第 3 年到期前开展复评审核（重新完整审核），换发新证书；

证书有效期3 年，不是拿证之后就永久有效，体系要持续运行，持续留存运行记录。