玖零零质量与标准服务 (山西) 有限公司

武老师15383615001

ISO27001 认证的完整流程：从准备到拿证的全步骤

（一）准备阶段：明确目标，奠定基础

1. 成立推行小组：由企业最高管理者牵头，成立 ISO27001 推行小组，成员包括各部门负责人、信息安全专员等，明确小组职责和分工，确保体系建设工作顺利推进。
2. 开展现状调研：对企业现有信息安全管理状况进行全面调研，了解信息资产分布、现有安全制度和措施、存在的安全漏洞和风险等，为体系建立提供依据。
3. 制定推行计划：根据调研结果，制定详细的 ISO27001 认证推行计划，明确各阶段工作内容、时间节点、责任部门和人员，确保工作有序开展。
4. 全员宣贯培训：开展 ISO27001 标准宣贯培训，向全体员工介绍标准的核心思想、主要内容、认证的意义和价值，提高员工的信息安全意识和参与积极性。

（二）体系建立阶段：搭建框架，编制文件

1. 风险评估与风险处置：按照标准要求，开展信息资产识别、威胁和脆弱性识别、风险分析和评价工作，制定风险处置计划，明确风险应对措施和责任部门。
2. 体系文件编制：根据风险处置计划和标准要求，编制体系文件。体系文件通常分为三个层级：
   • 管理手册：是体系的纲领性文件，明确企业信息安全方针、目标、组织架构、体系范围等核心内容。
   • 程序文件：是管理手册的支撑性文件，规定各项信息安全管理活动的流程、方法和要求，如《访问控制程序》《信息安全事件管理程序》等。
   • 作业指导书和记录表单：是程序文件的细化和落地工具，包括具体的操作规范、记录表格等，如《员工信息安全行为规范》《风险评估记录表》等。
3. 文件评审与发布：体系文件编制完成后，组织内部相关人员进行评审，确保文件符合标准要求、贴合企业实际情况。评审通过后，由最高管理者批准发布，正式生效。

（三）体系运行阶段：落地执行，积累证据

1. 体系试运行：体系文件发布后，企业进入体系试运行阶段，各部门按照体系文件的要求开展工作，落实各项控制措施，记录体系运行过程中的相关数据和信息。
2. 开展内部审核：体系试运行 3 个月以上后，由内部审核员按照计划开展内部审核，检查体系文件的执行情况，识别存在的不符合项，提出纠正措施建议。
3. 实施管理评审：内部审核完成后，由最高管理者主持开展管理评审，对体系的运行效果、适宜性、充分性和有效性进行评审，结合企业内外部环境变化，提出体系改进决策。
4. 问题整改完善：对内部审核和管理评审中发现的问题，制定纠正措施和预防措施，明确整改责任人、整改期限，确保问题得到有效解决，体系持续优化。

（四）认证申请阶段：选择机构，提交材料

1. 选择认证机构：企业需要选择一家具有国家认可资质（CNAS 认可）的认证机构。在选择时，可综合考虑认证机构的行业经验、服务质量、审核团队专业水平、认证费用等因素，通过对比筛选出合适的机构。
2. 提交认证申请：向选定的认证机构提交认证申请，申请材料主要包括：
   • 认证申请书（需明确认证范围、体系运行时间等信息）；
   • 企业营业执照、组织机构代码证等资质文件；
   • 信息安全管理体系文件（管理手册、程序文件目录等）；
   • 体系运行证明材料（如内部审核报告、管理评审报告、风险评估报告等）；
   • 法律法规符合性证明材料（如网络安全等级保护备案证明等）。
3. 认证机构受理：认证机构收到申请材料后，对材料进行审查，确认材料齐全、符合要求后，正式受理认证申请，并与企业签订认证合同。

（五）认证审核阶段：现场审核，问题整改

1. 审核计划制定：认证机构根据企业情况，制定详细的审核计划，明确审核目的、范围、审核组成员、审核时间、审核内容等，提前通知企业。
2. 第一阶段审核（文件审核）：审核组对企业提交的体系文件进行审核，检查文件是否符合 ISO27001 标准要求、是否贴合企业实际情况，提出文件修改建议。企业根据审核意见对体系文件进行修改完善。
3. 第二阶段审核（现场审核）：文件审核通过后，审核组进入企业现场开展审核。审核组通过与企业员工访谈、查阅记录表单、现场观察等方式，检查体系文件的执行情况，验证体系是否得到有效实施和保持，识别存在的不符合项。
4. 不符合项整改：现场审核结束后，审核组向企业出具审核报告，明确不符合项（分为严重不符合项和一般不符合项）。企业需要对不符合项进行原因分析，制定纠正措施和预防措施，在规定期限内完成整改，并向认证机构提交整改证据。
5. 审核结论评定：认证机构对企业的整改证据进行审查，确认不符合项已有效关闭后，评定审核结论。审核结论通常分为 “推荐认证注册”“有条件推荐认证注册”“不推荐认证注册” 三种情况，若为 “有条件推荐”，企业需完成附加整改工作。

（六）证书获取阶段：批准注册，持续监督

1. 认证注册批准：认证机构根据审核结论，经内部审批后，对符合要求的企业进行认证注册，颁发 ISO27001 信息安全管理体系认证证书。证书有效期为 3 年，证书信息可在国家认证认可监督管理委员会（CNCA）官网和认证机构官网上查询。
2. 获证后监督审核：为确保企业体系持续有效运行，认证机构在证书有效期内会进行监督审核，通常每年 1 次。监督审核的内容包括体系的运行情况、纠正措施的有效性、企业内外部环境变化对体系的影响等。若监督审核发现企业体系运行不符合要求，认证机构将提出整改要求，若整改未通过，可能会暂停或撤销证书。
3. 再认证审核：证书有效期满前 3 个月，企业需要向认证机构提出再认证申请，认证机构将开展再认证审核，审核内容与初次认证审核类似。再认证审核通过后，企业将获得新的认证证书，进入下一个 3 年的认证周期。