交付物
- ISMS 范围说明与边界界定
- 信息安全方针与目标
- 风险评估方法、风险评估报告与风险处置计划
- 适用性声明（SoA），覆盖附录 A 93 项控制
- 必备程序与记录模板
- 内部审核报告与管理评审记录
- 第一、二阶段审核准备与不符合项整改支持
需要你提供
- 拟认证的法人实体、地点、产品与服务
- 管理层代表与各部门对接人
- 现有制度、资产清单、供应商清单与技术架构说明
- 体系至少试运行一段时间并保留运行记录
不包含
- 认证机构的审核费与证书费（由认证机构收取，单列）
- 渗透测试与技术检测（可协助安排）
- 对认证结果的任何保证
适合哪些情况
- 欧洲、日本、新加坡等地客户或渠道要求提供 ISO/IEC 27001 证书
- 招投标或大型企业供应商准入把 ISO 27001 列为门槛
- 你希望建立一套管理层参与、可持续运行的安全管理机制，而不只是应付一次审核
- 计划同时满足 SOC 2，希望“一套体系、两次审核”
项目如何推进
| 阶段 |
主要工作 |
常见时长 |
| 1. 范围与现状 |
界定认证范围（实体、地点、产品、流程），开展差距评估 |
2–3 周 |
| 2. 体系设计 |
方针与目标、风险评估方法、资产与风险识别、风险处置计划、适用性声明 |
3–6 周 |
| 3. 实施运行 |
制度落地、控制实施、培训与意识、记录留存 |
1–3 个月 |
| 4. 内审与管理评审 |
完成至少一轮内部审核和管理评审，关闭发现的问题 |
2–4 周 |
| 5. 认证审核 |
第一阶段（文件与准备情况）→ 第二阶段（运行有效性）→ 认证决定 |
视认证机构排期 |
| 6. 持续运行 |
每年监督审核，第 3 年再认证 |
每年 |
认证范围决定证书价值
认证范围会写在证书上。采购方核查证书时，会看持证主体是否就是签约主体、范围是否覆盖其采购的服务、证书是否在有效期内且由获认可的机构颁发。参见 如何核对 ISO/IEC 27001 证书范围。
费用由哪些部分构成
- 咨询与体系建设费：差距评估、文件体系、风险评估、内审与管理评审支持
- 认证机构费用：第一、二阶段审核及后续两次监督审核，与审核人日数相关
- 可选：培训、渗透测试、合规工具、年度维护
审核人日数通常与组织人数、地点数量和复杂度相关，由认证机构按认可规则确定。比较报价时请确认是否包含三年周期内的监督审核。
交付分工
认证由经认可的认证机构独立审核并作出决定，咨询方不能颁发证书，也不能担任同一组织的认证审核方。在 AssureLane 的项目中，体系建设与认证准备由交付合作方承担，AssureLane 负责需求判断、方案协调与项目沟通。
三方分工
01AssureLane
需求判断、范围梳理、方案与报价协调、项目节奏跟进，是你在项目中的统一沟通窗口。
02交付合作方
专业咨询与交付：差距评估、制度与控制建设、证据准备、准备度评估，以及与外部审计/认证机构的协调。
03独立机构
SOC 2 报告由独立 CPA 出具；ISO 认证由经认可的认证机构审核与决定。咨询方不出具报告或证书，也不承诺审核结论。
常见问题
认证机构怎么选？
优先选择获得认可的机构，并确认认可范围覆盖 ISO/IEC 27001。面向海外客户时，还应确认客户是否认可该认可机构（如 CNAS、UKAS、ANAB）及证书语言。可以通过认可机构官网或 IAF CertSearch 核查。
只给一部分业务做认证可以吗？
可以，但证书会写明认证范围。如果客户采购的服务不在范围内，证书对这笔交易的帮助有限。范围宁可准确，不要为了快而缩到客户不关心的部分。
已经有 SOC 2，再做 ISO 27001 要多久？
两者控制大量重叠，已有 SOC 2 的团队通常可以复用大部分控制与证据，主要补齐 ISMS 管理要求：风险评估、适用性声明、内部审核和管理评审。
2013 版证书还有效吗？
2013 版向 2022 版的过渡期已于 2025 年 10 月 31 日结束。客户收到的 ISO/IEC 27001 证书应为 2022 版。
本页为一般性信息，不构成法律、审计或认证意见。具体适用性、项目范围与专业责任须结合企业实际情况确认。