陕西 ISO27001⭐18734139001（ISO/IEC 27001:2022）完整认证流程

陕西 ISO27001（ISO/IEC 27001:2022）完整认证流程

陕西全省统一执行 CNCA 认证规则，审核分一阶段 + 二阶段，证书有效期 3 年；整体周期：3.5～5 个月（从启动到拿证）

第 1 步：前期评估、确定认证范围

1. 企业自查资质：营业执照、经营状态、有没有重大网信处罚、安全事故

2. 确认认证范围：明确纳入体系的业务、部门、系统、办公场所（西安、榆林、多场所企业要全部列明）

3. 差距分析：对照 27001 标准，找出现有信息安全短板，输出差距报告

重点：软件、大数据、政务服务商、能源企业风险点不一样，范围不能随便扩大或缩小

第 2 步：搭建全套 ISMS 体系文件

输出核心资料：

信息安全方针、安全手册、程序文件、SOP 作业文件、信息资产清单、风险评估报告、风险处置计划、SoA 适用性声明（核心）

配套：权限管理、备份、漏洞、应急、供应商安全、离职销权等制度

第 3 步：体系试运行（硬性≥3 个月）

文件落地执行，持续留存运行证据：

安全培训记录、权限变更、备份记录、漏洞扫描、应急演练、安全事件处置、供应商安全评审记录等

陕西审核重点：不能只做文件，必须有连续真实记录

第 4 步：内审 + 管理评审（试运行内完成）

1. 内审：内审员全覆盖认证范围审核，开出不符合项、整改闭环，出具内审报告

2. 管理评审：最高管理者主持，评审体系适宜性、充分性、有效性，形成管理评审报告

✅ 内审 + 管评全部闭环，才可以提交认证申请

第 5 步：选择 CNAS 认可认证机构，提交申请

1. 挑选有 CNAS 资质的认证机构，签订认证合同

2. 提交资料：营业执照、体系全套文件、内审报告、管理评审报告、范围说明、场所清单

3. 机构受理评审，确认是否符合受理条件

第 6 步：一阶段审核（文件审核、 readiness 评审）

• 形式：远程居多，少数现场

• 审核内容：核查范围、风险评估、SoA、内审、管评是否合规，判断是否具备二阶段审核条件

• 输出一阶段报告，如有问题先整改；一阶段不通过，不能安排二阶段

第 7 步：二阶段审核（正式现场审核，核心环节）

• 方式：现场审核（西安、高新区、秦创原企业一般上门；小微企业可远程）

• 审核内容：验证体系真实落地、有效运行；访谈员工、抽查运行记录、核查系统管控

• 开出：严重不符合、一般不符合、观察项

◦ 严重不符合：必须整改验证通过，否则不予发证

◦ 一般不符合：限期提交整改材料 + 证据

第 8 步：整改、验证、技术评审、发证

1. 企业按要求闭环所有不符合项，提交整改证据

2. 审核组验证整改有效，出具正式审核报告

3. 认证机构技术委员会评审，审批发证

4. 证书在认监委官网公示、可查询，电子证 + 纸质证下发

第 9 步：获证后维护（持续有效）

• 证书有效期：3 年

• 第 1 年、第 2 年：监督审核（年审），到期前安排，不做年审证书暂停、失效

• 第 3 年到期前 3 个月：启动再认证审核，换发新证书

✅ 陕西企业额外补充（本地特色）

1. 取证之后，符合条件可申报西安高新区、各区县工信、科技口的认证补贴（大多仅限首次取证）

2. 秦创原、专精特新、高企、服务外包项目，证书可作为加分材料

3. 搭配 ISO20000 双证的企业，审核会合并一部分，节省时间成本