咨詢?18734859001

ISO27001 認(rèn)證注意事項(xiàng)（2022 版）
一字一句都是審核關(guān)鍵點(diǎn)，直接照著避坑就行。
一、前期最容易忽略的硬門檻
1. 體系必須實(shí)際運(yùn)行 ≥3 個(gè)月
只有文件、沒(méi)有日志 = 直接不受理。
2. 必須做 1 次完整內(nèi)審 + 1 次管理評(píng)審
缺一不可，且必須覆蓋全部范圍、全部條款。
3. 認(rèn)證范圍不能亂寫(xiě)
寫(xiě)什么業(yè)務(wù)、什么場(chǎng)所、什么系統(tǒng)，審核就查什么，寫(xiě)大了查死你，寫(xiě)小了沒(méi)用。
4. 必須有合法營(yíng)業(yè)執(zhí)照、無(wú)嚴(yán)重違法失信
經(jīng)營(yíng)異常、處罰未完結(jié)→直接不發(fā)證。
二、文件體系最容易翻車的點(diǎn)
1. 風(fēng)險(xiǎn)評(píng)估必須真實(shí)，不能套模板
資產(chǎn)→脆弱性→風(fēng)險(xiǎn)等級(jí)→處置措施，必須和企業(yè)實(shí)際一致。
2. SoA（適用性聲明）必須有理有據(jù)
不適用的控制項(xiàng)必須寫(xiě)理由，不能空著或亂刪。
3. 文件與實(shí)際必須一致（說(shuō) = 做 = 記）
制度寫(xiě) “每月備份”，實(shí)際沒(méi)記錄 = 嚴(yán)重不符合。
4. 信息安全方針必須最高管理者簽字批準(zhǔn)
沒(méi)簽字 = 體系無(wú)效。
三、運(yùn)行記錄審核員必查（缺一個(gè)都不行）
• 權(quán)限開(kāi)通 / 變更 / 注銷記錄（入職、調(diào)崗、離職）
• 賬號(hào)密碼策略、弱口令檢查記錄
• 服務(wù)器 / 數(shù)據(jù)庫(kù) / 防火墻日志
• 數(shù)據(jù)備份 + 恢復(fù)測(cè)試記錄
• 員工安全培訓(xùn)記錄 + 簽到 + 試卷
• 設(shè)備巡檢、殺毒、漏洞掃描記錄
• 安全事件處置記錄（哪怕小事也要寫(xiě)）
• 物理門禁、監(jiān)控、出入登記
• 供應(yīng)商 / 外包安全管理協(xié)議與評(píng)估
四、內(nèi)審與管理評(píng)審大忌
• 內(nèi)審員不能審自己部門
• 內(nèi)審必須發(fā)現(xiàn)問(wèn)題并整改閉環(huán)，零問(wèn)題 = 造假
• 管理評(píng)審必須最高管理者主持，要有會(huì)議記錄、改進(jìn)措施
• 不能臨近認(rèn)證才突擊補(bǔ)材料，審核員一眼看穿
五、現(xiàn)場(chǎng)審核高頻不合格點(diǎn)
1. 離職人員賬號(hào)未及時(shí)刪除
2. 無(wú)密碼復(fù)雜度、無(wú)定期改密
3. 無(wú)備份、無(wú)恢復(fù)演練
4. 無(wú)風(fēng)險(xiǎn)評(píng)估或風(fēng)險(xiǎn)評(píng)估假大空
5. 無(wú)事件處理、無(wú)糾正措施
6. 供應(yīng)商無(wú)安全協(xié)議、無(wú)評(píng)審
7. 日志不全、日志不審計(jì)
8. 涉密電腦隨意插 U 盤、無(wú)管控
六、認(rèn)證機(jī)構(gòu)與證書(shū)注意
1. 必須選 CNAS+CNCA 雙認(rèn)可機(jī)構(gòu)
否則證書(shū)很多招標(biāo)不認(rèn)。
2. 不要買 “假證、快速證、不用審核證”
認(rèn)監(jiān)委一查就露餡，廢標(biāo) + 處罰風(fēng)險(xiǎn)極大。
3. 證書(shū)有效期 3 年，每年要監(jiān)督審核，不審失效。
七、一句話總結(jié)最關(guān)鍵原則
文件寫(xiě)全、運(yùn)行真實(shí)、記錄完整、整改閉環(huán)、前后一致