ISO27001 认证完整流程（ISO/IEC 27001:2022）

整体周期：一般 2～4 个月，体系必须试运行满 3 个月才能提交审核

1️⃣ 前期评估 & 签约

• 确认企业业务、认证范围、多现场情况，做差距分析，评估企业现状

• 选择认监委备案的认证机构，签订咨询合同 + 认证合同

• 确定项目计划、时间节点

2️⃣ 体系搭建（核心资料编制）

• 组建信息安全小组，确定 ISMS 体系边界

• 资产盘点、信息安全风险评估、制定风险处置计划、编写SoA 适用性声明（27001 核心文件）

• 编制手册、制度、表单：账号权限、备份、应急、供应商安全、安全培训等文件

• 落地制度，留存运行记录，体系试运行≥3 个月

3️⃣ 内审 + 管理评审（必备，不能省略）

• 内部审核：自查体系漏洞，出具内审报告

• 管理评审：最高管理者评审体系运行效果，输出管评报告

完成内审 + 管评，才可以申请正式审核

4️⃣ 一阶段审核（文审 / 准备度审核）

• 认证机构审核员评审全套体系文件

• 核查：体系范围、风险评估、SoA、内审、管评是否齐全

• 识别文件层面问题，开出不符合项，企业完成整改闭环

一阶段整改完成，才可以安排二阶段现场审核

5️⃣ 二阶段现场审核（现场实审）

审核员到企业现场（远程 + 现场结合），抽样核验落地证据：

• 人员访谈、权限管理、机房检查、备份记录、应急演练、安全事件处置、供应商安全管控

• 核查是否满足 93 项 Annex A 控制项

• 现场开出不符合项（一般分严重 / 一般不符合）

• 企业按要求提交整改资料，审核员验证整改有效性

6️⃣ 认证决定、发证

审核资料提交认证机构技术委员会评审，评审通过后颁发 ISO27001 证书，证书信息录入国家认监委平台，可查询。

7️⃣ 证后维持（拿证不是结束）

• 证书有效期：3 年

• 每年 1 次监督审核（第 1 年、第 2 年），不做监督审核证书失效

• 3 年到期前 3 个月，启动再认证审核，延续证书有效期