点击图片查看原图
ISO27001?18734859001?:2022 认证四大硬性条件（缺一不可申报）
一、主体资质条件（申请前置）
1. 营业执照有效：独立法人执照，经营范围与认证业务匹配，多场地经营需列明全部办公 / 机房地址。
2. 专项资质按需补齐：软件、IDC、互联网需 ICP 备案；医疗 / 金融按法规补充行业许可、等保测评回执。
3. 信用合规：企业不在失信黑名单，近 12 个月无网信、数据安全类行政处罚。
4. 管理层任命：法人签发文件，任命信息安全负责人，高层签发正式信息安全方针与安全目标。
二、体系文件条件（一阶段文审必查）
1. 编制ISMS 信息安全手册 + 全套程序文件（访问控制、变更、应急、供应商安全、事故处置、备份管理等）。
2. 四大核心特有文件（27001 独有）
? 信息资产盘点清单（软硬件、业务数据、涉密文档分级）
? 全公司信息安全风险评估报告
? 风险处置方案（规避 / 降低 / 转移风险措施）
? SoA 适用性声明：93 项附录 A 控制项勾选，豁免项写明合理理由，严禁全盘套用模板。
三、体系运行硬性条件（审核红线）
1. 体系连续试运行≥3 个自然月，从首份运行记录日期起算，留存全周期台账，不能后期集中补记录。
2. 必须完成 1 次全范围内审：内审计划、检查表、不符合整改闭环、内审总结报告全套资料。
3. 必须完成管理评审：总经理主持会议、评审输入资料、会议签到、管评报告、改进落地计划。
4. 落地实操：开展信息安全培训、应急演练（宕机 / 泄密 / 勒索病毒演练并留记录）、定期漏洞扫描、数据备份验证。
四、现场落地条件（二阶段现场审核）
1、人员条件
全员信息安全培训存档；离职员工账号、权限注销记录；外包合作方签订信息安全保密协议并做供方安全考评。
2、机房 & 物理安全
机房门禁、出入登记、监控、消防、温湿度巡检台账；服务器、网络设备台账；办公电脑权限分级管理。
3、IT 安全台账
账号开通 / 变更 / 注销台账、服务器巡检日志、漏洞整改记录、定期备份 + 备份恢复测试记录、信息安全事件处置单。
补充：获证后维持条件
证书有效期 3 年，每年 1 次监督年审；到期前 3 个月启动再认证审核，逾期未审证书暂停失效。
山西ISO27001信息安全申请条件?18734859001