北京ISO27001认证办理注意事项⭐18734139001

ISO27001:2022 认证注意事项

一、前期策划（立项 & 定范围阶段）

1. 认证范围不要随意写大

范围会直接打印在证书上；不要为了证书好看盲目把还没管控的业务、异地场所全部纳入。

举例：公司总部在太原，外地办事处 IT 没有管控，就不要写进范围；后期体系成熟之后可以再申请扩项。

2. 高层一定要真正参与，不可以全部甩给文员或者外包做文件

标准明确要求最高管理者发布信息安全方针、主持管理评审；审核时会访谈高层领导；高层完全不懂信息安全方针极易开出严重不符合。

3. 确认选择正规认证机构

必须是国家认监委 CNCA 备案机构；签约前到认监委官网查询机构资质；警惕低价快速拿证（声称 1‑2 个月直接拿证、不用运行直接出证属于违规发证，后期证书会被撤销）。

硬性规则：体系必须实际运行满 3 个月，完成内审、管理评审之后才能够申请二阶段现场审核。

二、体系文件与风险模块（文件阶段高频坑）

1. SoA 适用性声明是重中之重，严禁直接照搬网上模板

附录 A 一共 93 项控制项；每一项要结合企业实际；如果做豁免（不适用），必须写充分合理的排除理由，不能直接写 “不适用” 三个字完事；一阶段审核 SoA 是必查项，很多企业直接在此开不符合。

2. 风险评估不能流于形式，不要随便填一份报告应付审核

要有完整资产清单→识别威胁漏洞→风险分析打分→风险处置计划；高风险项要有对应的管控措施；审核员会对照风险报告去现场核查管控是否落地。

3. 文件制度写完之后一定要落地执行，不要写成一套纸面文件（纸上体系）；审核重点看运行证据，不是单纯看制度文档。

三、试运行阶段（证据留存）

1. 运行记录时间：从体系正式发布开始算起至少 3 个月，注意留存时间痕迹；不要后期集中补记录，审核员可以识别补做资料。

2. 必备运行证据重点留存

安全培训记录、人员入职离职账号注销、权限审批台账；机房巡检；数据备份（尽量要有备份恢复测试记录，只备份不做恢复测试属于高频不符合）；供应商安全评估；应急预案演练记录；安全事件处置记录。

应急演练不用搞得很盛大，但要有演练计划、签到、演练总结。

3. 内审、管理评审不能省略，也不能简单写一页纸报告

内审要有检查表、内审发现项以及闭环整改；管理评审要有各部门输入资料、会议记录、正式管理评审报告，必须最高管理者主持签字。

四、两阶段外部审核注意事项

1. 一阶段与二阶段审核间隔必须≥5 个工作日，不允许同一天完成一二阶段审核；遇到机构希望一天做完两阶段，属于违规。

2. 一阶段审核开出问题，务必全部整改完成之后再启动二阶段现场审核，不要硬上二阶段。

3. 现场审核访谈：不光管理人员，普通员工也可能被随机访谈；基层员工要简单了解本岗位信息安全要求（保密、账号、密码管理）；很多企业栽在员工一问三不知。

4. 区分不符合项

• 一般不符合：限期提交整改资料闭环；

• 严重不符合：体系整体失效，不能发证，需要重新开展审核；出现严重不符合时间周期直接拉长。

整改不要简单写几句整改说明，需要附对应的证据记录。

五、拿证之后维护（非常多企业忽视）

1. 证书有效期 3 年，不是一劳永逸！

第 1、2 年度必须完成监督审核（年审）；不按时年审→证书暂停；暂停之后仍未处理直接撤销；撤销之后需要从头开始重新认证。

2. 第三年到期前做复评审核，重新换证。

3. 企业发生重大变化：搬迁场地、业务重大变更、组织架构大调整；需要及时通知认证机构；必要时做范围变更审核；不要等年审才被动处理。

4. 拿证之后仍需要持续做风险评估、内部审核；体系不能停止运行。

六、招投标与补贴方面注意

1. 如果后续要申请省市体系补贴，保存好合同、发票、证书；部分地区要求机构在认监委有效备案才可以申领补贴；违规证书拿不到补贴。

2. 招投标的时候核对证书上的认证范围，确保投标业务落在证书范围之内，范围不对证书无效。