ISO27001 认证全流程注意事项（分筹备、文件、试运行、一阶段 / 二阶段审核、取证后维持五大模块，高频踩坑点标注）

一、期筹备 & 范围界定核心注意事项（80% 企业初期出错）

1. ISMS 认证范围切忌盲目做大
   • 新手误区：直接把全公司、所有分公司、全部业务纳入，管控覆盖不全，现场大量不符合项；
   • 正确做法：初次取证优先选单一业务线、单一办公场地，仅纳入存储客户隐私、研发数据的板块；分公司、新业务等换证年审再扩容。
   • 范围必须写清：物理地址（机房、办公区）+ 逻辑系统（云平台、APP、数据库），明确哪些业务 / 系统不纳入，并给出合规排除理由。
2. 高层必须深度参与，不能只甩给 IT
   • 信息安全方针、安全目标、管理评审会议必须总经理签字主持；仅 IT 推进、无管理层资源，直接开出严重不符合；
   • 正式任命信息安全管理者代表，文件、记录、外审对接统一由其统筹。
3. 提核对行业项资质，避免申请被驳回
   • 互联网 / 平台：ICP/EDI、等保测评报告；医疗：医疗机构执业许可；财税人力：对应经营许可；
   • 无资质先补齐再提交申请，一阶段直接卡材料无法推进二阶段审核。
4. 内审员配置要求
   至少 1 名持证 ISO27001 内审员，内审必须全覆盖所有部门、机房、业务系统，无持证人员内审记录无效。

二、体系文件编制重点注意事项（一阶段审核重灾区）

1. 两大独有核心文件不能敷衍（缺失直接不受理）

（1）SoA 适用性声明（附录 A 93 项控制措施）

• 禁止只简单勾选 “适用 / 不适用”，每一项删减必须写完整理由；例如企业自研软件却删除安全编码控制，无合理解释属于严重缺陷；
• 每条适用控制项，需绑定公司对应的制度、表单、运维记录，证明有落地证据，不能纯空白表格。

（2）风险评估全套资料（体系根基）

• 资产清单全覆盖：硬件、软件、云数据、客户信息、图纸、U 盘、外包系统，分（公开 / 内部 / 机密 / 绝密）；
• 必须明确风险评估方法（定性 / 定量）、风险判定标准、风险处置四选一（降低 / 转移 / 规避 / 接受）；
• 要有残余风险接受审批，不能只识别风险不做处置计划；风险清单不能只写几条，过少判定评估流于形式；
• 禁止网上通用模板照搬，风险场景必须贴合自身业务（电商重点客户隐私、制造重点研发图纸）。

2. 文件杜绝 “两张皮”（文件一套、现场执行另一套）

• 制度写 “每季度权限复核”，实际一年未做；文件写每日机房巡检，无巡检记录，直接判定严重不符合；
• 制度条款精简适配企业规模，小微企业不用照搬大厂复杂流程，写能真实落地的内容。

3. 强制程序文件不可缺失

4. 安全目标必须可量化

三、体系试运行硬性红线（一票否决项，绝对不能省略）

1. 连续运行 90 天（3 个月），不可压缩、不可断档
   记录日期连贯，不能审核一周集中补填；日期矛盾、签字代签、批量后补记录，审核员查实直接终止认证，延后 2–3 个月重新试运行。
2. 内审 + 管理评审必须完整闭环，缺一不可
   • 内审：覆盖全部门，出具检查表、不符合项、整改证据、内审总结；轻微 / 严重问题全部整改完毕；
   • 管理评审：总经理组织，输入内审结果、安全事件、风险更新、客户投诉、法规更新；输出改进计划并落地，全套签字存档。
3. 必须完成至少 1 次信息安全应急演练
   演练场景：勒索病毒、数据泄露、机房断电；留存方案、现场照片、问题复盘、优化措施，无演练记录直接开严重不符合。
4. 必备落地运行记录（缺一即扣分）
   员工全员安全培训、保密协议、离职账号回收、机房巡检、漏洞扫描、定期数据备份、供应商安全评估、账号权限变更台账、安全事件处置记录。
5. 数据备份真实有效
   仅本地备份不达标，建议本地 + 云端双备份；留存备份日志，有备份恢复测试记录；无备份、备份周期过长属于重大风险缺陷。