山西ISO27001信息安全管理體系認證

一、前期準備（1–2 個月）

• 高層承諾與范圍確定：明確認證覆蓋的部門、場所、系統與業務邊界。
• 組建團隊：信息安全負責人 + IT、人事、業務、法務跨部門成員。
• 差距分析：對照 2022 版標準評估現狀，輸出改進計劃。
• 選型認證機構：優先 CNAS/CNCA 認可機構（如 BSI、CQC 等），確保證書權威。

二、體系建立（2–3 個月）

• 文件化 ISMS：按三級文件架構編制（手冊 + 程序文件 + 作業指導書與記錄），核心包含方針目標、風險評估報告、SoA 適用性聲明、訪問控制、事件響應、變更管理等文件。
• 風險評估與處置：識別資產、脆弱性，完成風險評估與處置計劃，形成 SoA 明確控制項取舍理由。
• 技術與管理措施落地：部署訪問控制、備份恢復、日志審計、入侵防御等技術措施；完善人員安全、物理安全、供應商管理等管理要求。
• 全員培訓：開展信息安全意識與技能培訓，留存培訓記錄。

三、體系運行與內審（≥3 個月，硬門檻）

• 正式運行：體系發布后持續運行，保留完整記錄（權限變更、備份日志、安全事件、培訓、巡檢等）。
• 內部審核：覆蓋全范圍與條款，形成內審報告，不符合項整改閉環。
• 管理評審：最高管理者主持，評估體系適宜性、充分性與有效性，輸出改進計劃并留存記錄。

四、認證申請與兩階段審核（1–2 個月）

• 申請材料：營業執照、ISMS 文件包、風險評估與 SoA、內審 / 管理評審報告、3 個月運行記錄等。
• 第一階段（文審 + 初訪）：審核文件完整性、與 2022 版一致性及范圍合理性，5–10 個工作日出報告，限期整改輕微不符合項。
• 第二階段（全現場審核）：通過訪談、查記錄、現場觀察、系統演示驗證運行有效性，2–3 人日；開具不符合項，10–30 天內整改并提交證據。

五、整改與發證（2–3 周）

• 整改閉環：按要求完成不符合項整改，提交證據，審核組驗證。
• 認證決定：機構評審審核報告與整改結果，通過后制證。
• 發證與公示：獲有效期 3 年證書，可在認監委平臺查詢。

六、證書維持（3 年周期）

• 年度監督審核：每年 1 次，核查體系持續有效性，約為初次認證費用 30%。
• 再認證審核：滿 3 年進行，通過后續證 3 年。
• 持續改進：按 PDCA 循環更新風險與控制，定期內審與培訓，適配新法規與業務變化。

?? 時間與費用參考

• 總周期：4–9 個月（視成熟度與整改效率）。
• 費用構成：咨詢費（可選）+ 審核費（按人日 / 規模）+ 證書費，小型機構通常數萬元起。

? 關鍵提醒

• 運行滿 3 個月是硬門檻，不足無法申請。
• 必須 “說、做、記” 一致，避免只做文檔不落地。
• 2022 版強化網絡安全、隱私與供應鏈風險，需適配新增控制項。