武老师15383615001
ISO27001认证的办理流程
整个流程通常需要3至6个月，其中体系运行满3个月是硬性要求：
|
阶段 |
主要工作 |
大致周期 |
|
准备与诊断 |
确定认证范围、资产识别、风险评估 |
2-4周 |
|
体系建立 |
风险处置计划、文件编写、控制措施落地 |
1-2个月 |
|
体系运行 |
全员培训、按文件执行、记录留存 |
≥3个月（硬性） |
|
内审与管理评审 |
验证体系有效性、输出管评报告 |
运行期内完成 |
|
认证审核 |
一阶段文件审核＋二阶段现场审核 |
2-4周 |
|
发证与监督 |
颁发证书、年度监督审核、三年再认证 |
证书3年有效 |
流程中有几个信息安全特有的要点。其一，认证范围的界定非常关键：可以覆盖全公司，也可以先覆盖核心业务部门或信息系统，范围越小成本越低，但投标时若客户要求覆盖特定业务，范围不匹配反而被动。其二，风险评估是整个体系的发动机——资产清单、威胁识别、脆弱性分析、风险等级划分、处置决策，环环相扣，审核员会重点抽查其逻辑一致性。其三，二阶段现场审核会实地查验技术控制的有效性，包括防火墙策略、备份恢复演练、访问权限审批记录、员工安全意识访谈等，纸面制度与实际操作"两张皮"是最常见的失败原因。
获证后每年接受监督审核，第3年换证再认证。另外提醒：如果企业仍持2013版旧证书，过渡期已过，应尽快启动重新认证，避免招投标时证书失效的尴尬。
特别提示：本信息由相关用户自行提供，真实性未证实，仅供参考。请谨慎采用，风险自负。
