客户为什么会问 ISO/IEC 27001
采购方希望了解供应商是否有系统性的信息安全管理方式。ISO/IEC 27001 规定 ISMS 要求，强调组织基于自身风险建立、实施、维护并持续改进管理体系。证书只能说明证书所列组织和范围的管理体系经过认证；它不会自动覆盖企业的全部产品、法人和地点。
因此，先核对客户要求的认证主体、范围和版本。若客户要的是特定产品的技术测试或 SOC 2 报告，不能用 ISO/IEC 27001 证书简单替代。
准备工作从范围开始
范围决定哪些业务活动、信息资产、人员、地点、技术系统和外部依赖纳入管理体系。范围定得过宽，会给团队带来难以维持的控制负担；范围过窄，则可能覆盖不到客户实际采购的服务。销售、管理层、信息安全和业务运营应共同确认边界，并解释它与对外服务之间的关系。
随后识别范围内的风险，确定风险处理方式、控制措施与责任人。ISMS 不只是技术工具清单，还涉及政策、培训、供应商、事件处理、内部审查和持续改进。文件、执行记录和日常操作需要相互一致。
| 工作环节 | 需要形成的判断 |
|---|---|
| 范围 | 哪些实体、业务、地点、系统和人员在内？ |
| 风险 | 哪些信息安全风险与这些活动相关？ |
| 控制 | 采用哪些措施、谁负责、如何持续运行？ |
| 证据 | 怎样证明体系在定义的范围内实际运行？ |
| 审核 | 内部审核和管理评审能否发现问题并推动改进？ |
认证与独立性
企业负责建立并运行 ISMS；专业顾问可以协助范围界定、风险评估与准备工作；认证审核和证书由具备相应资质的独立认证机构负责。应核对其认可状态、适用地域与客户采购要求。AssureLane 负责需求判断与项目编排，专业交付由合作专业机构承担。
与 SOC 2 如何取舍
这两项回答的问题不同：SOC 2 是围绕服务组织控制的鉴证报告，ISO/IEC 27001 是信息安全管理体系标准及其认证路径。选择先后应看采购文件要求的成果、目标客户、现有管理体系和实际准备能力。有些团队两项都做，但不能把它们视为同一个项目或互相等同。
收到客户要求时，先找出其合同原文。若尚不明确，向客户确认“需要哪一个实体、哪一种成果、覆盖哪些业务及截止日期”，再制定计划。
把准备过程拆成可验证的阶段
- 确认范围：描述纳入的实体、业务活动、地点和技术环境，并核对该范围是否覆盖客户采购的服务。
- 形成风险与处置记录：识别重要信息资产、威胁和影响，记录控制选择与责任分工。
- 让体系真实运行：政策、访问、变更、供应商、事件和培训等活动有对应负责人及执行记录。
- 内部检查与管理评审：识别运行中的差距，跟踪纠正措施。外部认证机构再根据约定范围开展独立审核。
这些阶段不是固定工期承诺。实际顺序与所需投入取决于组织现状、范围、人员参与和认证机构要求。
一个证书能回答什么，不能回答什么
采购方收到证书时，应能核对获证组织、标准版本、范围、发证机构和有效状态。证书可以支持供应商安全尽调，但它不是某个软件功能的安全测试报告，也不能证明范围外关联公司或全部产品均经过认证。如果客户要求特定服务的 SOC 2 报告，需要另行确认其接受条件。
ISO/IEC 27001 首次沟通准备清单
建议带上公司与业务结构、准备纳入的服务及地点、现有安全政策和风险评估、供应商清单，以及客户要求原文。没有完整资料也可以先讨论范围，但不能在范围未明确前承诺证书覆盖结果。
如果认证范围已经初步明确，可继续阅读 ISO/IEC 27001 管理体系建设与认证准备，核对项目阶段、客户投入和独立认证机构的职责。