ISO27001 认证注意流程（重点版）18734859001

1. 准备阶段
   • 必须先做信息资产盘点 + 风险评估，不能直接套模板。
   • 明确认证范围：哪些部门、系统、业务纳入，不能模糊。
2. 建体系文件
   • 文件要贴合企业实际，不能网上随便下载。
   • 必须包含：安全手册、程序文件、制度、记录表单、适用性声明 SoA。
3. 体系试运行
   • 必须真实运行 ≥3 个月，不能造假。
   • 保留好：权限管理、日志、备份、培训、演练、漏洞整改等记录。
4. 内部审核
   • 内审必须覆盖全部条款和所有部门。
   • 发现的不符合项必须全部整改闭环。
5. 管理评审
   • 必须由最高管理者主持，不能随便找人代替。
   • 评审要真实，不能只走形式。
6. 选认证机构
   • 必须选国家认监委批准、CNAS 认可的机构。
   • 拒绝 “低价包过、快速买证”。
7. 一阶段审核（文审）
   • 重点查：文件齐不齐、风险评估真不真、试运行够不够 3 个月。
   • 问题要及时整改，否则不能进现场审核。
8. 二阶段现场审核
   • 审核员会查记录、问人员、看现场。
   • 制度要会说、记录要能对应、安全措施要真实落地。
9. 不符合项整改
   • 轻微不符合：尽快整改。
   • 严重不符合：必须彻底整改并提交证据，否则不发证。
10. 获证后维护

• 证书3 年有效期，每年必须做 1 次监督审核。