# ISO/IEC 27001 从哪里开始准备？

> ISO/IEC 27001 规定了信息安全管理体系（ISMS）的要求。准备的起点是界定组织与业务范围、理解信息风险，并让管理体系在真实运营中运行，而不是先收集证书模板。

来源页面: https://assurelane.ai/frameworks/iso-27001/
更新: 2026-09-26 · 来源核验: 2026-09-26

## 要点速览

- 全称: ISO/IEC 27001:2022 信息安全、网络安全与隐私保护——信息安全管理体系——要求
- 发布/监管方: 经认可的认证机构（如获 CNAS、UKAS、ANAB 认可）
- 成果: ISMS 认证证书，注明认证范围
- 适用对象: 任何希望证明信息安全管理能力的组织
- 地区: 全球，欧洲与亚太认可度尤高
- 典型周期: 从启动到认证常见 4–9 个月
- 有效期: 证书 3 年有效，每年监督审核，第 3 年再认证

## 关键时间线

- 2022-10: ISO/IEC 27001:2022 发布，附录 A 调整为 93 项控制
- 2025-10-31: 2013 版证书过渡期结束

## 客户为什么会问 ISO/IEC 27001

采购方希望了解供应商是否有系统性的信息安全管理方式。ISO/IEC 27001 规定 ISMS 要求，强调组织基于自身风险建立、实施、维护并持续改进管理体系。证书只能说明**证书所列组织和范围**的管理体系经过认证；它不会自动覆盖企业的全部产品、法人和地点。

因此，先核对客户要求的认证主体、范围和版本。若客户要的是特定产品的技术测试或 SOC 2 报告，不能用 ISO/IEC 27001 证书简单替代。

## 准备工作从范围开始

范围决定哪些业务活动、信息资产、人员、地点、技术系统和外部依赖纳入管理体系。范围定得过宽，会给团队带来难以维持的控制负担；范围过窄，则可能覆盖不到客户实际采购的服务。销售、管理层、信息安全和业务运营应共同确认边界，并解释它与对外服务之间的关系。

随后识别范围内的风险，确定风险处理方式、控制措施与责任人。ISMS 不只是技术工具清单，还涉及政策、培训、供应商、事件处理、内部审查和持续改进。文件、执行记录和日常操作需要相互一致。

| 工作环节 | 需要形成的判断 |
| --- | --- |
| 范围 | 哪些实体、业务、地点、系统和人员在内？ |
| 风险 | 哪些信息安全风险与这些活动相关？ |
| 控制 | 采用哪些措施、谁负责、如何持续运行？ |
| 证据 | 怎样证明体系在定义的范围内实际运行？ |
| 审核 | 内部审核和管理评审能否发现问题并推动改进？ |

## 认证与独立性

企业负责建立并运行 ISMS；专业顾问可以协助范围界定、风险评估与准备工作；认证审核和证书由具备相应资质的**独立认证机构**负责。应核对其认可状态、适用地域与客户采购要求。AssureLane 负责需求判断与项目编排，专业交付由合作专业机构承担。

## 与 SOC 2 如何取舍

这两项回答的问题不同：SOC 2 是围绕服务组织控制的鉴证报告，ISO/IEC 27001 是信息安全管理体系标准及其认证路径。选择先后应看采购文件要求的成果、目标客户、现有管理体系和实际准备能力。有些团队两项都做，但不能把它们视为同一个项目或互相等同。

收到客户要求时，先找出其合同原文。若尚不明确，向客户确认“需要哪一个实体、哪一种成果、覆盖哪些业务及截止日期”，再制定计划。

## 把准备过程拆成可验证的阶段

1. **确认范围**：描述纳入的实体、业务活动、地点和技术环境，并核对该范围是否覆盖客户采购的服务。
2. **形成风险与处置记录**：识别重要信息资产、威胁和影响，记录控制选择与责任分工。
3. **让体系真实运行**：政策、访问、变更、供应商、事件和培训等活动有对应负责人及执行记录。
4. **内部检查与管理评审**：识别运行中的差距，跟踪纠正措施。外部认证机构再根据约定范围开展独立审核。

这些阶段不是固定工期承诺。实际顺序与所需投入取决于组织现状、范围、人员参与和认证机构要求。

## 一个证书能回答什么，不能回答什么

采购方收到证书时，应能核对获证组织、标准版本、范围、发证机构和有效状态。证书可以支持供应商安全尽调，但它不是某个软件功能的安全测试报告，也不能证明范围外关联公司或全部产品均经过认证。如果客户要求特定服务的 SOC 2 报告，需要另行确认其接受条件。

## ISO/IEC 27001 首次沟通准备清单

建议带上公司与业务结构、准备纳入的服务及地点、现有安全政策和风险评估、供应商清单，以及客户要求原文。没有完整资料也可以先讨论范围，但不能在范围未明确前承诺证书覆盖结果。

如果认证范围已经初步明确，可继续阅读 [ISO/IEC 27001 管理体系建设与认证准备](https://assurelane.ai/services/iso-27001/)，核对项目阶段、客户投入和独立认证机构的职责。

## 参考来源

- [ISO — ISO/IEC 27001:2022](https://www.iso.org/standard/27001)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。