陕西 ISO27001⭐18734859001（ISO/IEC 27001:2022）认证注意事项

陕西 ISO27001（ISO/IEC 27001:2022）认证注意事项

一、机构选择（重中之重，直接影响招投标、补贴）

1. 必须选 CNAS 认可、认监委备案的认证机构，提前在 CNAS 官网核查机构认可范围，优先选熟悉陕西软件、秦创原、能源、政务信息化行业的审核员；无 CNAS 认可的证书，西安高新区、各区县补贴、国企招投标大多不认

2. 警惕超低价 “快证、包过证”：正规审核必须 3 个月试运行 + 一、二阶段，低价机构很多只出纸面证书，监督审核时直接失效

3. 报价提前写清楚：是否包含审核费、差旅费、年审费用；区分咨询费和认证费，避免中途加价

二、认证范围 & SoA 适用性声明（高频翻车点）

1. 范围描述精准、可落地，不要写过大或模糊（例如 “公司全部业务”），后期招投标、客户验厂会按证书范围核验；多场所（西安 + 榆林等异地办公）纳入范围就要全部管控，不能只写地址不落地

2. SoA（适用性声明）不能直接复制模板，每一项豁免控制项都要有充分、合理书面理由，审核员逐条核对；2022 版附录 A 一共 93 项控制项，不能随意勾选豁免

3. 范围一旦确定，审核阶段修改范围会直接延期、重新排期

三、体系试运行、证据留存（陕西审核重点：重落地，不重文档厚度）

1. 硬性要求：体系试运行满 3 个月，内审、管理评审必须在试运行周期内完成，时间逻辑不能倒置，记录日期不能造假，审核员会交叉核对日志、备份、培训记录时间线

2. 证据要真实、可追溯，不是一次性补表：权限审批、离职销权、漏洞扫描、备份 + 备份恢复测试、供应商安全评审、应急演练、安全事件记录、安全培训（最好附带考核 / 问卷，不是只签到）

3. 资产清单、风险评估要贴合陕西企业业务特点：

◦ 西安软件、外包：重点代码库、客户隐私数据、云平台资产风险

◦ 陕北能源企业：勘探数据、生产调度系统、工控相关风险

◦ 政务服务商：等保、数据出境、个人信息保护要配套合规材料

4. 风险处置：风险不能只识别不处置；风险转移、风险接受都要有审批记录，高风险项必须有管控措施

四、内审、管理评审注意事项

1. 内审要全覆盖认证范围，不能只挑简单部门审核；不符合项要闭环，有整改证据，不能只写一句 “已整改”

2. 管理评审必须最高管理者主持，不能委托员工代签；评审内容要包含安全目标、风险变化、投诉、安全事件、内审结果、法规变化，输出明确改进决议，不是走形式签字

五、审核现场注意事项（一阶段 + 二阶段）

1. 一阶段（文审）：文件、风险评估、SoA、内审管评先预审，问题全部闭环再约二阶段；一阶段不通过，不能安排现场审核，拉长周期

2. 二阶段现场审核：

◦ 首末次会议最高管理者尽量到场

◦ 随机访谈普通员工，员工要清楚基础安全要求（钓鱼邮件、密码规则、离职交资料），提前内部模拟访谈

◦ 云业务：准备云服务商资质、云安全协议；机房要有门禁、监控、访客登记

◦ 涉及个人信息：同步对齐《数安法》《个保法》，隐私告知、数据留存、销毁流程要配套

3. 不符合项区分：严重不符合必须整改验证通过才发证；一般不符合要在规定时限提交客观证据，不要空写整改方案

六、陕西本地政策 & 补贴专属提醒

1. 补贴基本仅限首次取证，再认证、监督审核不享受补贴；西安高新区、秦创原、各区县工信 / 科技口政策独立，宝鸡、榆林、咸阳、渭南补贴口径不一样，取证后尽快看申报通知，很多有申报时限，逾期不补

2. 申报补贴时，机构、发票、证书信息必须一致；证书要在认监委官网可查，假证会影响高企、专精特新、科技项目申报信用

3. 高企、专精特新、数字化项目、秦创原入库，证书是加分材料，但要保证证书范围和申报业务匹配

七、获证之后持续维护（很多企业忽略）

1. 证书有效期 3 年：第 1、2 年每年监督审核，超时不做→证书暂停，再逾期→撤销，补贴资格作废

2. 业务重大变更：新增系统、新上云、重大客户数据接入、组织架构大变动，要更新资产清单、风险评估、SoA

3. 记录至少留存到证书失效后一段时间，年审随时抽查；不要拿证之后就停止安全巡检、备份、培训

4. 搭配 ISO20000 双证：可以申请合并审核，减少一次现场，节省时间和审核成本