玖零零质量与标准服务 (山西) 有限公司

武老师15383615001

ISO27001 体系搭建与认证的完整流程

企业想要拿到 ISO27001 证书，不是简单购买模板文件直接送审，需要完成体系搭建、运行、内部审核、管理评审，再提交第三方机构认证审核，整体周期，具体流程分为五个阶段。

第一阶段：前期准备与现状调研。企业确定推进 ISO27001 项目，成立信息安全小组，任命信息安全管理者代表。体系咨询老师会进入企业开展现状调研，梳理企业业务流程，盘点企业全部信息资产，识别现有信息安全短板，比如制度缺失、权限混乱、缺少应急方案等，同时确定认证范围。认证范围可以是全公司，也可以选定部分业务板块，企业可以结合投标需求、实际业务情况来确定。

第二阶段：风险评估与体系文件编写。这是体系建设核心环节。开展信息安全风险评估，识别各类信息安全威胁与薄弱点，评估风险等级，编写风险评估报告、风险处置计划。之后编制全套体系文件，包含信息安全方针、管理制度、作业文件、记录表单，覆盖访问控制、人员安全、物理安全、设备安全、通信安全、事件管理、业务连续性等管控条款。文件不是照搬模板，要结合企业真实业务场景编写，保证制度可落地，不是一纸空文。

第三阶段：体系试运行。文件定稿发布之后，企业全员按照制度要求执行，体系至少运行 3 个月以上，同步留存运行记录。在试运行期间，落实信息安全培训、资产盘点、权限核查、漏洞检测、应急演练等工作，持续收集各类表单记录。这个阶段的核心是落地执行，不能只停留在纸面。

第四阶段：内部审核和管理评审。体系运行期满后，组织内部审核，内审员检查各部门体系执行情况，发现不符合项，整改闭环。内审完成后，由企业最高管理者组织管理评审，评审体系运行有效性，评估风险变化，确定体系持续改进方向，形成内审报告、管理评审报告，这是认证前必备材料。

第五阶段：第三方认证审核，获quzheng书。企业准备好全部资料，向具备 CNAS 认可资质的第三方认证机构提交认证申请。审核分为一阶段审核和二阶段审核。一阶段主要审核文件完整性、体系准备情况；二阶段现场审核，审核员实地核查企业体系落地情况，查验记录，访谈员工。审核发现问题，企业完成整改，审核机构确认整改合格后，批准颁发 ISO27001 认证证书。证书有效期 3 年，每年需要进行监督审核，3 年到期前开展再认证审核，维持证书有效。