ISO/IEC 27001 · INFORMATION SECURITY
ISO/IEC 27001 信息安全管理体系咨询
把信息安全纳入风险与业务管理
围绕组织持有或处理的信息资产及业务风险，协助建立信息安全管理体系（ISMS），开展风险评估与处置、制定适用性声明和管理措施，并为第三方认证审核做好准备。
现行要求标准为 ISO/IEC 27001:2022，另有 2024 气候行动修正。认证是自愿选项；认证审核、决定及证书由独立认证机构负责。
01 / CONSULTING SCOPE
让信息安全控制对应实际资产和业务风险
从组织实际的信息流和技术环境出发，
建立可维护、可验证的 ISMS。
ISO/IEC 27001 是信息安全管理体系标准，不是单项产品或网络安全工具认证。控制措施需基于组织风险评估确定。通过认证不代表不存在安全事件，也不自动证明满足所有数据保护或网络安全法律要求。
ISMS 范围与业务边界
明确纳入管理体系的业务、产品/服务、场所、团队、信息处理活动，以及云服务、外包和供应商接口。
信息资产与安全风险评估
梳理信息及其载体、业务依赖和责任人，按组织风险准则评估威胁、脆弱性、影响与风险接受标准。
风险处置与控制选择
协助确定风险处置方式，选择适用的管理、人员、物理和技术控制，说明纳入或不纳入控制项的理由。
适用性声明与体系文件
建立与风险处置结果相一致的适用性声明（SoA），并完善信息安全方针、流程、职责和必要的运行记录。
人员意识与安全运行
按组织角色梳理人员意识、访问权限、供应商管理、事件响应、业务连续性及变更管理等运行安排。
内审、管理评审与认证准备
协助策划内部审核、管理评审、指标监测和纠正措施，核对体系证据并准备第三方认证审核。
02 / WHO SHOULD CONSIDER ISO/IEC 27001
适合依赖信息处理、需要证明治理能力的组织
认证范围和控制强度应与业务、
风险和客户要求相匹配。
软件、云服务与数字平台
处理客户数据、提供在线平台或依赖云和技术供应商的组织，需明确范围、信息安全职责及第三方接口。
客户采购与供应链准入
客户或合作伙伴提出信息安全管理体系要求时，可通过风险管理流程和认证审核证据展示治理安排。
需要统一信息安全管理
多部门、多个地点或业务扩张中的组织，可建立统一的风险评价、控制、事件处理和改进机制。
SCOPE & CONTROL SELECTION
控制清单不是照抄即可
ISO/IEC 27001 的控制选择应由风险处置过程驱动，并形成适用性声明。组织的业务性质、范围和风险不同，控制实施方案也会不同。
03 / IMPLEMENTATION ROADMAP
从范围界定到第三方认证的六步路径
技术措施、管理制度和人员职责
应在同一风险框架下协同。
- STEP 01确定业务范围、场所和相关方要求
- STEP 02梳理信息资产、流程和供应商接口
- STEP 03制定风险准则并开展风险评估
- STEP 04形成风险处置计划与适用性声明
- STEP 05运行控制并开展内审、评审和改进
- STEP 06选择认证机构并准备第三方审核
PREPARE BEFORE CONSULTATION
准备这些信息，有助于快速评估
组织与服务范围、系统/云平台清单、信息类型及流转、数据处理角色、主要客户安全要求、外部供应商、现行制度、事件响应和业务连续性安排。
04 / FREQUENTLY ASKED QUESTIONS
ISO/IEC 27001 咨询常见问题
认证范围、审核准备和控制措施需结合组织风险评估确认。
ISO/IEC 27001 的现行版本是什么？
ISO 官方页面列示的要求标准为 ISO/IEC 27001:2022，并包含 2024 年发布的气候行动修正。正式项目请以 ISO 出版文本为准。
ISO 27001 和网络安全产品认证是一回事吗？
不是。ISO/IEC 27001 认证评估组织的信息安全管理体系，不是对单个软件、设备或网络安全产品的认证，也不等于渗透测试或安全测评。
必须实施附件 A 的全部控制吗？
控制选择应基于风险评估和风险处置，并在适用性声明中记录必要控制及纳入或排除理由。不能不经评估就机械照抄控制清单。
通过认证是否意味着没有数据泄露风险？
不意味着零风险或不会发生事件。认证表明在审核范围和审核时点，体系经过第三方审核；组织仍需持续管理风险、监测控制并处理事件。
ISO/IEC 27001 认证是强制的吗？
通常由组织自愿决定是否认证。客户合同、采购、法规或供应链要求可能影响选择，应核对具体适用要求。
做咨询后能保证拿到证书吗？
不能保证。组织负责体系运行及信息真实性，独立认证机构负责审核和认证决定。咨询服务不应承诺“包过”。
OFFICIAL RESOURCES
ISO/IEC 27001 官方参考资料
本页面用于介绍咨询服务；具体条款以 ISO/IEC 正式出版文本为准。
BUILD AN INFORMATION SECURITY SYSTEM THAT WORKS
正在规划 ISO/IEC 27001 建立或认证？
告诉我们组织提供的服务、系统范围、信息处理方式、客户要求和现有安全管理基础，我们可以先协助梳理 ISMS 的范围与项目重点。