# ISO/IEC 27001 信息安全管理体系建设与认证准备

> 证书的价值取决于认证范围是否覆盖客户关心的实体与服务。我们先把范围定准，再建立一套日常在用的 ISMS，最后交由经认可的认证机构审核。

来源页面: https://assurelane.ai/services/iso-27001/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 交付物

- ISMS 范围说明与边界界定
- 信息安全方针与目标
- 风险评估方法、风险评估报告与风险处置计划
- 适用性声明（SoA），覆盖附录 A 93 项控制
- 必备程序与记录模板
- 内部审核报告与管理评审记录
- 第一、二阶段审核准备与不符合项整改支持

典型周期: 从启动到获证常见 4–9 个月

## 需要你提供

- 拟认证的法人实体、地点、产品与服务
- 管理层代表与各部门对接人
- 现有制度、资产清单、供应商清单与技术架构说明
- 体系至少试运行一段时间并保留运行记录

## 不包含

- 认证机构的审核费与证书费（由认证机构收取，单列）
- 渗透测试与技术检测（可协助安排）
- 对认证结果的任何保证

## 适合哪些情况

- 欧洲、日本、新加坡等地客户或渠道要求提供 ISO/IEC 27001 证书
- 招投标或大型企业供应商准入把 ISO 27001 列为门槛
- 你希望建立一套管理层参与、可持续运行的安全管理机制，而不只是应付一次审核
- 计划同时满足 SOC 2，希望“一套体系、两次审核”

## 项目如何推进

| 阶段 | 主要工作 | 常见时长 |
| --- | --- | --- |
| 1. 范围与现状 | 界定认证范围（实体、地点、产品、流程），开展差距评估 | 2–3 周 |
| 2. 体系设计 | 方针与目标、风险评估方法、资产与风险识别、风险处置计划、适用性声明 | 3–6 周 |
| 3. 实施运行 | 制度落地、控制实施、培训与意识、记录留存 | 1–3 个月 |
| 4. 内审与管理评审 | 完成至少一轮内部审核和管理评审，关闭发现的问题 | 2–4 周 |
| 5. 认证审核 | 第一阶段（文件与准备情况）→ 第二阶段（运行有效性）→ 认证决定 | 视认证机构排期 |
| 6. 持续运行 | 每年监督审核，第 3 年再认证 | 每年 |

## 认证范围决定证书价值

认证范围会写在证书上。采购方核查证书时，会看**持证主体是否就是签约主体**、**范围是否覆盖其采购的服务**、**证书是否在有效期内且由获认可的机构颁发**。参见 [如何核对 ISO/IEC 27001 证书范围](https://assurelane.ai/insights/iso-27001-certificate-scope/)。

## 费用由哪些部分构成

1. **咨询与体系建设费**：差距评估、文件体系、风险评估、内审与管理评审支持
2. **认证机构费用**：第一、二阶段审核及后续两次监督审核，与审核人日数相关
3. **可选**：培训、渗透测试、合规工具、年度维护

审核人日数通常与组织人数、地点数量和复杂度相关，由认证机构按认可规则确定。比较报价时请确认是否包含三年周期内的监督审核。

## 交付分工

认证由经认可的认证机构独立审核并作出决定，咨询方不能颁发证书，也不能担任同一组织的认证审核方。在 AssureLane 的项目中，体系建设与认证准备由交付合作方承担，AssureLane 负责需求判断、方案协调与项目沟通。

## 常见问题

### 认证机构怎么选？

优先选择获得认可的机构，并确认认可范围覆盖 ISO/IEC 27001。面向海外客户时，还应确认客户是否认可该认可机构（如 CNAS、UKAS、ANAB）及证书语言。可以通过认可机构官网或 IAF CertSearch 核查。

### 只给一部分业务做认证可以吗？

可以，但证书会写明认证范围。如果客户采购的服务不在范围内，证书对这笔交易的帮助有限。范围宁可准确，不要为了快而缩到客户不关心的部分。

### 已经有 SOC 2，再做 ISO 27001 要多久？

两者控制大量重叠，已有 SOC 2 的团队通常可以复用大部分控制与证据，主要补齐 ISMS 管理要求：风险评估、适用性声明、内部审核和管理评审。

### 2013 版证书还有效吗？

2013 版向 2022 版的过渡期已于 2025 年 10 月 31 日结束。客户收到的 ISO/IEC 27001 证书应为 2022 版。

## 参考来源

- [ISO — ISO/IEC 27001:2022](https://www.iso.org/standard/27001)
- [ISO — Certification](https://www.iso.org/certification.html)
- [IAF — Transition requirements for ISO/IEC 27001:2022 (MD 26)](https://iaf.nu/en/iaf-documents/)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。