陕西 ISO27001⭐18734859001（ISO/IEC27001:2022）全套申请材料清单

陕西 ISO27001（ISO/IEC27001:2022）全套申请材料清单

适用西安、宝鸡、咸阳、榆林、渭南等全省企业；分为【认证机构受理资料】+【体系文件】+【3 个月运行证据】三大类，全部材料加盖公章。

一、基础资质材料（提交认证机构，一阶段受理必备）

1. 认证机构制式《认证申请表》（盖章）

2. 营业执照副本复印件（有效期内）；多场地提供全部经营地址 + 租赁合同 / 产权证明

3. 组织架构图、信息安全组织架构、岗位权责文件，任命信息安全负责人

4. 业务流程图、网络拓扑图、机房平面图（软件 / 信息化企业必交）

5. 行业许可（按需）：ICP 备案、等保测评报告、软件著作权、涉密资质、医疗 / 金融行业准入文件

6. 信用承诺书：近 12 个月无重大网络安全处罚、无重大数据泄露事故、未列入失信名单

7. 咨询机构资质（如有辅导）：咨询公司营业执照、人员资质

二、ISMS 体系文件（文审核心，缺一不可）

（1）顶层文件

1. 信息安全方针、信息安全目标（最高管理者签发）

2. 信息安全管理手册（体系总纲，界定认证范围）

3. 适用性声明 SoA（核心文件）：逐条评审附录 A 共 93 项控制措施，删减项必须写明正当理由，不能随意删减

（2）程序文件（必备 10 份）

1. 文件控制程序

2. 记录控制程序

3. 信息资产识别与分级程序

4. 风险评估与风险处置程序

5. 内部审核程序

6. 管理评审程序

7. 纠正与预防措施程序

8. 人员信息安全管理程序

9. 访问控制管理程序

10. 信息安全事件与业务连续性程序

（3）专项方案与报告（硬性文件）

1. 全公司信息资产清单（硬件、软件、数据、文档、外包服务）

2. 风险评估报告+风险处置计划（含风险等级、整改措施、责任人、完成时限）

3. 供应商信息安全管理方案、外包方安全协议模板

三、体系运行证据（必须满连续 3 个月，二阶段现场审核重点）

1）体系运行闭环资料（硬性门槛）

1. 内部审核全套资料：内审计划、内审检查表、内审报告、不符合项整改单 + 整改证据（必须全部闭环）

2. 管理评审全套资料：管理评审计划、会议签到、评审输入资料、管理评审报告（最高管理者主持）

2）日常安全落地记录（审核抽查重点）

人员安全

• 全员信息安全培训计划、培训签到、课件、考核记录

• 入职保密协议、背景审查记录；离职人员账号注销、权限回收记录

• 岗位权限定期复核记录

技术与运维安全

• 服务器、网络账号权限台账，最小权限配置记录

• 系统漏洞扫描、病毒查杀、补丁升级记录

• 数据备份策略 + 定期备份日志、备份有效性测试记录

• 机房出入登记、物理安防巡检记录

事件与应急

• 信息安全事件台账、事件处置报告

• 应急预案、业务连续性方案 + 应急演练记录（带照片、演练总结）

第三方管理

• 供应商安全准入评估、外包商安全协议、供方定期审核记录

文档管理

• 文件发布、修订、作废审批记录；所有体系记录留存归档

四、多场所企业额外补充材料（陕西多地分公司）

1. 所有分支机构地址清单、各场所业务范围

2. 每个场地独立的资产清单、风险评估记录

3. 统一的体系管控文件 + 各场地运行记录

五、现场审核备查补充资料

1. 员工花名册、岗位清单

2. 信息系统清单、软硬件台账

3. 近一年网信、公安无处罚的自查声明

4. 认证范围边界说明（写明哪些业务纳入、哪些业务排除）

六、资料准备红线（陕西审核严格执行）

1. 体系试运行不足 3 个月不予受理，不能压缩周期、倒补记录

2. SoA 适用性声明不能随意删减条款，删减必须提供充分理由

3. 内审 + 管评必须真实召开，整改项必须闭环，无闭环直接开严重不符合

4. 所有纸质记录要有签字、日期，电子日志要留存原始截图，不能临时补做