河南 ISO27001 信息安全管理体系认证

ISO/IEC27001:2022，简称 ISMS 信息安全管理体系。核心管控数据安全、账号权限、服务器、客户隐私、信息资产，河南软件公司、系统集成、云服务商、大数据、医疗、政务服务商投标刚需资质，常搭配 ISO20000 一起办理，很多河南政企项目要求双证。

一、办理条件

1. 独立法人，营业执照有效，有固定办公场地；认证范围和实际业务匹配，多分支机构纳入范围。

2. 信息安全体系试运行满 3 个月（硬性要求不可跳过），完成内审 + 最高管理者主持管理评审，问题全部闭环整改。

3. 完成信息资产盘点、信息安全风险评估、出具适用性声明 SoA（核心文件，不能省略）。

4. 近 1 年内无重大信息安全泄露事件、无网络安全重大行政处罚，企业不在严重失信名单。

5. 涉政务、医疗、关键信息基础设施业务，等级保护备案 / 测评报告按需配套；客户个人信息处理业务要符合《个人信息保护法》。

二、所需材料清单

1. 营业执照、法人身份证明；等保测评报告（涉及业务按需提供）

2. 组织架构图、业务流程图、多场所清单、信息资产清单（服务器、数据库、电脑、文档、源码等）

3. 体系核心文件：信息安全方针、管理手册、程序文件、风险评估报告、风险处置计划、适用性声明 SoA

4. 运行记录：

• 账号权限管理：账号开通、离职人员权限注销、权限定期复核记录

• 数据备份、备份恢复测试、漏洞扫描、补丁更新记录

• 信息安全事件管理、应急方案 + 应急演练记录

• 第三方供应商安全评估（外包开发、云服务商）

• 员工信息安全培训、保密协议、访问控制记录

5. 内审报告、管理评审报告

三、完整认证流程

1. 选择 CNCA 备案认证机构选择国家认监委备案机构，优先熟悉河南软件、集成行业审核团队；核验机构资质，确定认证范围，签订合同，可配套咨询辅导。

2. 体系搭建、资产盘点与风险评估梳理全部信息资产，识别信息安全风险，编制 SoA 适用性声明，编写全套体系文件，禁止直接套用模板。

3. 体系试运行≥3 个月落地执行安全制度，持续留存安全运行记录；开展内审、管理评审，整改所有不符合项。

4. 一阶段审核（文件评审）审核员核查风险评估、SoA、体系文件完整性，提出文件层面问题，企业整改。

5. 二阶段现场审核审核员现场查看机房、服务器管理，抽查账号、备份、漏洞记录，访谈 IT、业务人员；开出不符合项。

6. 整改 + 发证按期提交整改证据，机构技术评审通过发证。证书有效期3 年。

7. 证后维护3 年周期内每年 1 次监督审核；到期前 3 个月启动再认证。

办理周期：从零搭建体系 3～5 个月；已有安全制度、资料齐全 2～3 个月拿证

四、高频审核注意事项（河南企业重点）

1. 风险评估 + SoA 适用性声明是审核核心不能简单抄模板，资产盘点要真实；每项控制措施选用 / 删减必须写清楚理由，SoA 和风险登记册逻辑要对应，这是最容易开出严重不符合项的地方。

2. 人员权限管理高频踩坑员工离职必须及时注销账号；定期复核权限，杜绝权限过大、闲置账号；全员签订保密协议。

3. 备份与恢复测试很多企业只做备份，不做恢复测试，审核员重点核查；只备份不验证，视为管控失效。

4. 外包供应商信息安全管控云服务器、外包开发、第三方运维属于信息安全风险，不能仅收集供应商资质，需要做安全风险评估，合同内增加信息安全条款。

5. 信息安全事件与应急演练要有信息安全事件处置流程；定期演练勒索病毒、数据泄露等场景，留存演练方案、签到、总结。

6. 区分 ISO27001 和 ISO20000ISO27001：信息安全、数据保护；ISO20000：IT 服务运维流程。河南政务、教育信息化招标经常要求双证一起拿。

7. 避坑提醒选择 CNCA 备案机构，证书认监委官网可查；低价无备案机构证书无效，河南招投标直接不予认可；认证范围不能夸大，不能包含未实际开展的业务。