ISO 27001 信息安全管理体系

ISO 27001 认证是什么？

ISO 27001 是信息安全管理体系的国际标准，围绕信息资产识别、风险评估与控制措施选择，建立可持续运行的管理制度。

它的覆盖范围不限于技术防护，还包括人员安全、流程规范与物理环境安全。体系落地通常体现在三个方面：制度有没有写下来、写下来有没有执行、执行有没有留下记录，审核也主要围绕这三条展开。对承接政企项目、处理客户数据的企业来说，ISO 27001 证书常常出现在投标资格与供应商准入清单里，属于进门条件。

国内现行认证依据已经换版。GB/T 22080-2025 等同采用 ISO/IEC 27001:2022，技术内容与新国际标准保持一致，企业按新版标准建立并运行体系即可，不需要同时走两套要求。

哪些企业需要办 ISO 27001？

主要看三件事：客户或招标文件有没有明确要求、业务是否处理他人数据、是否承接政企与大型客户的信息化项目。

判断自己是否需要办理，主要看三件事：客户或招标文件有没有明确要求提供证书；业务是否涉及客户数据的收集、存储、处理或对外提供；信息系统是否对外服务，一旦中断或泄露会造成较大影响。

三条里命中任意一条，办理就可以提上日程；一条都不沾，也可以先做一次信息安全风险评估，用评估结论判断投入是否必要。实际准备时这几类情况最常见：

• 投标在即，资质清单里点名要求 ISO/IEC 27001 证书
• 承接客户的系统开发、运维或数据加工业务，被要求提供供应商安全证明
• 业务从自有产品转向对外服务，数据处理环节明显增多
• 已经办了 ISO 20000，客户希望信息安全部分也有对应证明

ISO 27001 证书有什么实际作用？

它是政企与大型客户项目的准入条件，也常作为供应商安全能力的证明，但不等于已经履行了全部合规义务。

有一点需要说清楚：拿到证书不等于已经合规。ISO 27001 证明的是一套管理体系在运转，也就是风险评估做了、控制措施选了、有记录可查，不等于数据处理活动已经履行完《个人信息保护法》下的全部义务。这不是在否定证书的作用，两者可以互相支撑，但不能互相替代。因此体系工作与合规工作最好放在一起规划，避免各做一套材料。

ISO 27001 现在按哪个版本办理？

国内认证依据已经换版：GB/T 22080-2025 等同采用 ISO/IEC 27001:2022，换版通常挂在最近一次监督审核或再认证上办理。

GB/T 22080-2025 等同采用 ISO/IEC 27001:2022，技术内容与新国际标准一致，只有两处本地化处理。

• 名称按国内标准体系改为《网络安全技术 信息安全管理体系 要求》
• ISO/IEC 27001:2022 的修正案（气候行动相关）并进 4.1、4.2 两条

手上已经有证书的企业不用慌。证书三年有效，有效期内照旧有效，换版挂在最近一次监督审核或再认证上办理即可，认证机构通常还会另发换版通知。

距离下一次监督审核还有时间的企业，可以提前一个审核周期开始准备，把体系文件里的标准引用、风险评估方法与适用性声明对照新版要求调整一遍，通常不需要推翻重做。

刚接洽认证机构的，建议在合同上确认一句：证书依据写的是不是 GB/T 22080-2025 或 ISO/IEC 27001:2022。还写着 2016 版的，先问清楚换版安排与费用口径，再决定是否签约。

ISO 27001 和 ISO 20000、等保是什么关系？

ISO 27001 管信息安全，ISO 20000 管 IT 服务，等保是合规要求；三者不互相替代，可以引用彼此的测评结论。

常被放在一起比较的有 ISO 20000 与网络安全等级保护，三者的关注点并不相同，适用的判断依据也不一样。

ISO 27001 与 ISO 20000 经常一起办，业内叫「双信息」。两套体系的文件架构、内部流程与审核安排有大量重叠，合并准备能省下重复的梳理工作，条件允许时审核也可以安排在同一时间段。

选型时按顺序判断就够了：招标文件与客户审核清单里点名哪一本，就先办哪一本；两本都被点名，合并办理通常更省事；等级保护属于另一条线，按主管部门要求单独评估，不必和体系认证的时间安排绑在一起。

办理 ISO 27001 的工作量和费用怎么看？

工作量比一般管理体系大，因为必须完成风险评估与适用性声明；看报价要同时看审核人日数与体系范围这两栏。

体系本身的工作量比一般管理体系多一些，因为必须做信息安全风险评估，并编写适用性声明，逐条说明哪些控制措施适用、为什么适用、不适用的理由是什么。

• 风险评估要覆盖纳入认证范围的全部信息资产，并保留完整的评估记录
• 适用性声明要逐条对应标准条款，写清适用理由或不适用原因
• 只写制度、没有实际运行记录，现场审核时会列为不符合项，需要整改后再确认
• 获证后保持记录连续，监督审核重点查两次审核之间这段时间的执行情况

费用落在哪一档，决定性因素是审核人日数：按企业人数、场所数量与业务复杂度核定后，再乘以人日单价。拿报价单时先看两栏，审核费有没有按「人日单价 × 人日数」拆开写、监督审核怎么计价。这两栏写清楚了，后续追加费用的空间就小。具体金额以正式报价及合同约定为准，同一标准在不同企业之间也会因人数与系统范围出现差异。

ISO 27001 认证流程怎么走？

流程是范围确认与风险评估、体系文件建立、申报受理、一阶段与二阶段审核、整改闭环、发证，证书有效期 3 年。

常规办理按以下步骤推进，整体时间取决于企业的准备情况与配合节奏。

• 前期接洽：确认标准版本、认证范围与场所数量，判断是否需要与 ISO 20000 合并办理
• 体系梳理：梳理信息资产，完成信息安全风险评估，编写体系文件与适用性声明
• 运行与记录：按文件要求执行一段时间，形成风险评估、权限审批、变更与事件处理等记录
• 一阶段审核：审阅体系文件与运行证据，确认是否具备进入现场审核的条件
• 二阶段审核：现场查看机房或办公环境、访问控制与操作记录，对不符合项进行整改确认
• 发证与维护：通过后发证，每年接受一次监督审核，第三年到期前办理再认证
• 换版衔接：临近监督审核或再认证时，按新版标准完成体系文件调整并接受审核

上述步骤里，体系梳理与运行记录这两步占用时间最长，也最容易被低估。风险清单、适用性声明与运行记录准备到位之后，审核环节的节奏通常比较紧凑，按审核方给出的时间表配合即可。

常见问题