点击图片查看原图
ISO27001:2022 认证全套材料分成「申报提交资料」「体系文件包」「试运行落地证据（现场审核必查）」「补充辅助材料」四大类，可直接对照整理归档。
一、提交给认证机构的申报盖章资料（一阶段文审用）
1. 认证申请表（认证机构模板，加盖公章）
2. 营业执照清晰扫描件（有效期内，经营范围匹配认证范围）
3. 法人身份证复印件
4. 组织架构图、部门职责说明书
5. 信息安全管理者代表 / ISMS 负责人任命文件（盖章）
6. 认证范围确认书（精确描述业务，禁止笼统填写）
7. 多场所清单（多地办公、分公司、分厂才需要）
8. 体系试运行周期说明（明确起止日期，满足≥3 个月）
二、核心体系文件四层架构（电子版 + 纸质版都要留存）
第一层：手册
《信息安全管理体系 ISMS 手册》
包含：企业概况、ISMS 方针、安全目标、组织职责、边界范围、14 个控制域框架、持续改进机制。
第二层：程序文件（必备 15 份）
1. 文件和记录控制程序
2. 内部审核程序
3. 管理评审程序
4. 不合格、纠正与改进控制程序
5. 资产管理程序
6. 访问权限控制程序
7. 人力资源安全管理程序
8. 物理环境安全控制程序
9. 运行与通信安全管理程序
10. 系统开发、采购安全程序
11. 第三方供应商安全管理程序
12. 数据备份与恢复控制程序
13. 信息安全事件响应程序
14. 业务连续性 & 应急管理程序
15. 合规性评价程序
第三层：管理制度 / 作业指导书
机房管理办法、账号密码策略规范、VPN 远程接入管理规定、涉密纸质资料管理办法、员工保密管理细则、外包人员安全管理规范、日志留存管理规范、漏洞扫描与补丁升级制度等。
第四层：全套空白表单模板
权限申请 / 变更 / 注销单、资产登记表、巡检记录表、培训签到表、演练记录表、供方评价表等。
三、技术核心必备文件（缺一不可）
1. 信息资产清单（硬件、软件、云资源、源代码、客户数据、纸质涉密资料）
2. 资产保密性、完整性、可用性赋值表
3. 风险识别、分析、风险评价表
4. 风险处置计划（降低 / 规避 / 转移 / 接受）
5. SoA 适用性声明（逐条勾选 2022 版控制项适用 / 不适用，不适用写明合理理由）
四、试运行 3 个月现场审核原始证据（按模块分类）
模块 1：内审 + 管理评审整套资料
1. 内审计划、内审检查表（覆盖全部部门 + 全部控制域）
2. 内审不符合项报告、整改单、整改佐证材料
3. 正式内审总结报告
4. 管理评审通知、会议签到表、会议纪要
5. 各部门评审输入材料（目标达成、风险、合规、投诉、外审结果）
6. 管理评审正式报告（最高管理者签字）
模块 2：人力资源安全材料
1. 全体正式员工、实习生、外包人员保密协议
2. 新员工入职背景核查记录
3. 信息安全培训课件、签到表、考核试卷、现场照片
4. 离职人员权限注销审批单、系统权限移除截图
模块 3：访问控制证据
1. 账号权限申请、审批、定期权限复核记录
2. 弱密码整改记录、服务器密码策略配置截图
3. VPN 外网访问审批登记台账、运维操作日志
4. 超级管理员账号双人管控、操作留痕记录
模块 4、资产管理与数据分级
1. IT 软硬件、云资源完整资产台账
2. 数据分级分类清单（公开 / 内部 / 敏感 / 绝密）
3. 敏感数据加密配置截图、加密方案说明
4. 废旧设备硬盘销毁、报废处置登记记录
模块 5：运维、备份与演练（高频卡审点）
1. 机房月度巡检记录表
2. 漏洞扫描报告、系统补丁更新安装记录
3. 本地 + 异地双备份执行日志
4. 备份恢复演练方案、演练记录、测试结果报告（硬性必查）
5. 服务器、防火墙系统日志留存截图
模块 6：物理环境安全
1. 机房门禁出入登记台账
2. 机房监控留存时长说明（≥90 天）
3. 机房温湿度、防火、防雷巡检记录
4. 涉密纸质文件上锁保管记录、废弃敏感纸张粉碎销毁记录
模块 7：第三方供应商安全资料
1. 云服务商、外包开发、运维、客服等合作合同
2. 单独签署的《信息安全补充协议》
3. 供方安全能力评价表、年度复评记录
模块 8：安全事件 + 应急演练
1. 信息安全事件处置单（无事件则留存空白台账）
2. 宕机、勒索病毒、数据泄露专项应急预案
3. 应急演练方案、签到表、现场照片、演练总结、优化整改记录
模块 9：合规性评价材料
1. 《网络安全法》《数据安全法》《个人信息保护法》合规自查表
2. 用户隐私收集授权凭证、数据脱敏记录（有用户业务必备）
3. 等保测评报告（已做等保企业附加提交）
五、特殊行业额外补充材料
1. 软件 / 互联网企业：ICP 备案截图、软件著作权证书
2. 金融、征信行业：对应监管准入批复、备案回执
3. 医疗行业：医疗机构执业许可证、数据合规备案材料
六、归档整理小贴士
1. 所有签字页、审批页手签后加盖公司公章；
2. 运行记录按月分散填写，严禁后期一次性批量补录，极易被审核判定造假；
3. SoA 不适用条款不能笼统写 “本公司无此项业务”，要细化说明豁免依据；
4. 整套资料分文件夹：申报资料、体系文件、风险评估 SoA、内审管评、各模块运行记录，现场审核可直接调取。
山西ISO27001信息安全材料?18734859001