ISO 27001 认证范围怎么划？云上的系统、外包的开发，算不算进去

一家 40 人的 SaaS 公司要办 ISO 27001，卡在范围那句话上。系统跑在阿里云，开发外包给杭州一个团队，成都有个分公司。客户表上写着「供应商需具备 ISO 27001，范围覆盖所提供服务」。

40 人这一档，初审 8.5 个人日[1]。证书上那句范围只有一行字，却定下三件事：审核员查哪些系统，跑几个地点，报价按哪一档算。所以范围不是文案活。写上去就得兑现。

证书上那一行字，藏着三件事

审核员进门先看范围，再拿范围去列清单。3 个位置缺 1 个，二阶段就抽不到东西。

要素	证书上怎么写	常见错法
谁	获证组织名称，统一社会信用代码，注册地址	集团名写了，出证主体没写
在哪	范围覆盖的经营地址，多场所全部列出	只写总部，工厂和机房漏掉
管什么	ISMS 覆盖的产品，活动，服务	写成「信息系统运维」，等于什么都没说

第 3 行最容易糊。规则要求范围「没有误导或歧义」，还要写清每个场所对应的范围[1]。写成「信息技术服务」这种词，审核员没法抽样，投标评委也看不出你管哪套系统。

能落地的写法长这样：「XX 平台的软件开发与运维，加上配套数据处理服务」。系统叫什么，做哪几段活，服务到哪一层，一句话交代完。

用云和租机房，外包开发的边界怎么划

公有云这一段最常被问，不过答案跟多数人想的不一样。范围写的是你用云提供的服务，不是云本身。阿里云自己那张 27001 证书，盖不到你头上。你要证明的是「云上的东西我怎么管」。2022 版标准专门加了云服务使用的控制项 A.5.23[2]，就是管这件事。

自建或租机房，物理那一组控制（A.7.1 到 A.7.14）要覆盖到那个门禁和那排机柜[2]。机房不是你的，就在范围里写清责任界面，谁管门禁、谁管监控，断电谁到场。

外包开发另算，不过这段边界要提前说。规则把这类活儿叫「影响体系有效性的外包环节」，申请时要写明[1]。外包团队的开发活动可以不进范围，前提是你能证明你控住了它，代码评审，上线审批，权限回收，这几处有记录。

远程办公和分公司要分开看，一旦混在一起，范围就写乱了。远程办公属于人员那组控制（A.6.7 远程工作）[2]，不是场所，不用在证书上列地址。分公司是场所，要么列进去，要么说清不在范围内。

适用性声明不是附件，证书上要印它的版本

ISO 27001:2022 附录 A 有 93 项控制，按四个主题分：组织 37 项，人员 8 项，物理 14 项，技术 34 项[2]。国家标准 GB/T 22080-2025 从 2026-01-01 起实施，审的就是这一版[3]。适用性声明要做的事，是逐条写下「用不用，为什么」。

93 项不用全做。风险评价说这一块没风险，可以排除，但理由要写。审核员最常问的一句是：「这条为什么不适用，你凭什么判断没风险？」

规则把适用性声明的版本写进了证书必备内容[1]。声明改版而控制覆盖面没变，证书不用换。覆盖面变了，证书就得跟着动。

写宽了，人日跳一档，场所都要跑

人日按有效人数和风险级别查表，档位一跳就是钱。

有效人数	初审人日（第一加第二阶段）
15 人及以下	6
16 到 25 人	7
26 到 45 人	8.5
46 到 65 人	10

把人算宽，档位就跳一档钱。把分公司和仓库都塞进范围，机房也得跑，差旅另算。审核时间可以减，减的幅度不超过表里那个数的 30%，现场时间至少留 70%[1]。想先看报价怎么拆，可以翻ISO 27001 认证费用。

监督审核也有讲究，不过账得算在前面。证书有效期内，几次监督累积起来要覆盖标准所有要求[1]。范围写得越散，后面两年每年都要多摊时间。

写窄了，投标那行字对不上

窄不等于省钱。客户表上那句「范围覆盖所提供服务」，评委拿你证书上的字，去对采购内容。

范围只写「办公系统运维」，要是投标的却是数据平台开发，这一项就是零分。资格条款更硬，直接被判不响应。

还有一种更麻烦的情况：系统在范围外，等于这套系统没证。真出了事，客户第一句话会问「你们认证范围里没有这块」。

你的公司落在附录 A 的哪一类

规则把认证业务范围分成 4 个大类 30 个中类，每个中类标了高、中、低风险[1]。政务和公共之外还有商务，最大一类是产品生产，软件硬件与系统集成都在里头。

风险级别不一样，审核时间和审核员配置跟着变，所以申请前先对好类别。类别对了，后面争论人日的事情就少一半。这套体系的底子，可以对照ISO 27001 认证看。

扩范围可以跟监督审核一起做

业务做大了，新系统和新场地要加进范围。规则允许这类审核跟监督审核一起做[1]，省下 1 趟行程和 1 次文件评审。

前提是提前说。等到监督审核前一周才提，审核组排不出时间，只能单独跑一次。

现场审核那天，范围里的东西怎么被抽查

一阶段看文件，规则要求评审体系文件（含适用性声明），确认它跟实际业务对得上[1]。这一关糊弄不过去。声明里写的控制和你现场真跑的系统要是两回事，审核员翻两页记录就露出来了。

二阶段按范围抽 3 样：资产清单、账号权限，还有日志。范围里写了哪套系统，就从哪套系统拉清单。看资产台账有没有它，看谁能进后台，看最近三个月的操作日志有没有人翻。整条流程走几步，可以对照ISO 27001 认证流程。

常见问题

系统全在云上，机房不是我的，还能办吗

能办。审核看的是你怎么管那套系统，不是机房归谁。云服务商的选择评价和访问控制，数据备份与退出安排，这几处有记录就行。

集团几个公司，能不能一张证

可以覆盖多个法律实体，但每个实体的法律地位证明都要交[1]。哪个实体在范围内干什么活，范围里要写清。

外包团队的代码，算不算我的范围

看你控不控得住。控住了，外包开发可以不进范围。控不住，就得把外包那段当成自己的一部分，写进范围里去。

范围写大一点，是不是更容易过投标

过投标看的是对得上，不是看大小。范围写大，人日和场所跟着涨，审核也会更细，这笔账到头来还是自己付。客户要哪句话，范围就写到那句话为止。通用体系那句范围怎么落笔，见ISO 认证范围怎么写。

证书下来以后，在哪查范围

认监委的证书查询平台能查到证书和状态，范围以证书正文为准。客户核你的时候，多半截 1 张图发过去。

参考来源

• 信息安全管理体系认证规则 CNCA-ISMS-01:2026，2026-01-14 发布，2026-03-01 实施，5.1.3 申请材料含认证范围与范围内人数，以及影响体系有效性的外包方，5.6.2.1 一阶段评审体系文件含适用性声明，6.2.6 证书载明产品活动服务范围与适用性声明版本，5.9.1 扩大范围可结合监督审核，5.4.1.3 监督审核累计覆盖全部要求，5.4.2.3 减时不超过 30% 现场不低于 70%，附录 B 初审审核时间 15 人及以下 6 人日 16 到 25 人 7 人日 26 到 45 人 8.5 人日 46 到 65 人 10 人日，附录 A 业务范围 4 大类 30 个中类与高中低风险，另见国家认监委 2026 年第 2 号公告 ｜ https://www.cnca.gov.cn/zwxx/gg/2026/art/2026/art_d7d0a45aa5294b56a26dbda7a30b33f5.html ｜ https://www.tlc.com.cn/FileSysPub/Upload/News/File/20260212/6390648162495268778724507.pdf ｜ 2026-01-21
• ISO/IEC 27001:2022 附录 A 共 93 项控制，分组织 37 项 人员 8 项 物理 14 项 技术 34 项四个主题，含 2022 版新增的 A.5.23 云服务使用与 A.6.7 远程工作，物理控制为 A.7.1 至 A.7.14，6.1.3 要求建立适用性声明 ｜ https://enactia.com/iso-27001-annex-a-controls ｜ https://cloudsoul.net/resources/blog/iso-27001-annex-a-controls-grouped-for-real-work ｜ 2026-10-25
• 国家标准 GB/T 22080-2025 网络安全技术 信息安全管理体系 要求，2026-01-01 实施，等同采用 ISO/IEC 27001:2022 ｜ https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=886C4EE1A50A26626A7BAD8571301CEC ｜ 2025-06-30