ISO27001 信息安全管理体系完整认证流程（ISO/IEC 27001:2022 / GB/T 22080-2025）
整体分为5 大阶段：体系搭建筹备→体系试运行→提交认证申请→两阶段外部审核→发证 + 3 年周期维持，整体周期 3～6 个月，硬性红线：体系必须连续完整运行满 90 天才能提交外部审核。
阶段：期诊断与体系搭建（1～2 个月）
1. 项目启动、划定认证范围
- 确定覆盖边界：办公场地、机房 / 云服务器、业务系统、客户数据板块；初次取证建议范围精简，避免管控不到位。
- 成立项小组：总经理牵头，正式任命信息安全管理者代表，IT、人事、业务、财务协同。
- 现状差距诊断：对照标准 93 项控制项排查短板，输出整改清单。
2. 核心基础工作（27001 特有）
- 梳理信息资产台账，按公开 / 内部 / 机密 / 绝密分；
- 开展信息安全风险评估，出具《风险评估报告》+《风险处置计划》；
- 编制SoA 适用性声明，逐条说明 93 项控制措施选用 / 删减理由（缺一不可）。
3. 编制四层全套体系文件
- 一：信息安全管理手册（安全方针、量化安全目标、权责、PDCA 框架）
- 二：6 份强制程序文件 + 项制度（文件 / 记录控制、风险、内审、纠正措施、管理评审、应急、供应商、访问控制等）
- 三：作业指导书（机房巡检、数据备份、权限变更、应急演练 SOP）
- 四：全套空白运行记录表单
4. 制度落地、全员培训
组织全员信息安全培训，全员签订保密协议；机房门禁、防火墙、定期备份、账号分管控全部落地执行。
第二阶段：体系试运行（硬性≥90 天，一票否决门槛）
必须留存连续不间断 3 个月完整运行证据，不可后期集中补记录：
- 日常运维记录：机房巡检、漏洞扫描、病毒查杀、服务器补丁、数据备份日志；
- 人员安全记录：安全培训签到、考核、员工保密协议、离职账号回收台账；
- 权限与供应商：账号新增 / 变更 / 注销记录、外包商安全评估、保密合同；
- 安全事件台账：病毒、钓鱼、系统故障处置记录；
- 至少完成 1 次信息安全应急演练（勒索攻击 / 数据泄露 / 机房断电，留存方案、照片、复盘总结）。
试运行末期两项强制内审动作
- 内部审核（内审） 全覆盖所有部门、机房、业务系统；出具内审计划、检查表、不符合项、全套整改闭环材料、内审总结。
- 管理评审（总经理亲自主持） 输入内审结果、安全事件、风险变化、客户隐私投诉、法规更新；输出评审报告、年度安全改进计划，全员签字存档。
未完成内审 + 管理评审、运行不足 90 天，认证机构直接拒收申请。
第三阶段：选择正规机构、提交认证申请（3～5 个工作日）
- 筛选CNCA 备案、具备 27001 资质第三方认证机构；
- 提交全套盖章申报材料： 营业执照、场地租赁合同、组织架构、全套 ISMS 体系文件、风险评估 + SoA、3 个月运行记录、内审 + 管理评审全套资料、行业项资质（ICP、等保、医疗许可等按需）；
- 机构开展申请评审，确认审核人天、认证范围，签订合同、缴纳认证费用。
版权声明