這項體系管什么，標(biāo)準(zhǔn)依據(jù)是什么

ISO27001 以“資產(chǎn)—威脅—脆弱性—風(fēng)險”為核心邏輯：企業(yè)識別信息資產(chǎn)，包括數(shù)據(jù)、系統(tǒng)、網(wǎng)絡(luò)、人員，開展風(fēng)險評估，并通過93項控制措施的裁剪落實管理信息安全風(fēng)險；通過信息安全方針、組織、資產(chǎn)管理、訪問控制、加密、物理與環(huán)境安全、運(yùn)行安全等控制域，建立縱深防御。ISO20000則聚焦 IT服務(wù)全生命周期，覆蓋服務(wù)管理體系、服務(wù)交付、關(guān)系管理、解決與需求、控制與設(shè)計等領(lǐng)域，強(qiáng)調(diào)服務(wù)級別協(xié)議（SLA）與持續(xù)改進(jìn)，是 IT運(yùn)維、云服務(wù)、軟件開發(fā)企業(yè)規(guī)范交付能力的標(biāo)準(zhǔn)。兩者常配套建設(shè)，信息安全管“防”，IT 服務(wù)管理管“交付”。

標(biāo)準(zhǔn)依據(jù)方面，GB/T 22080-2022《信息技術(shù) 安全技術(shù) 信息安全管理體系 要求》等同采用 ISO/IEC27001:2022；ISO/IEC 20000-1:2018 為 IT 服務(wù)管理體系標(biāo)準(zhǔn)；GB/T25070-2019《網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計技術(shù)要求》可作為網(wǎng)絡(luò)安全等級保護(hù)場景的合規(guī)參考。

誰需要，誰可以緩

適用對象包括軟件與互聯(lián)網(wǎng)企業(yè)；金融、證券、保險機(jī)構(gòu)；政務(wù)與公共服務(wù)信息化單位；數(shù)據(jù)中心、云服務(wù)與 IDC 企業(yè)；制造業(yè)數(shù)字化與工業(yè)互聯(lián)網(wǎng)企業(yè)；以及對外提供軟件服務(wù)的系統(tǒng)集成商。

邊界上有兩點需要說清。其一，法規(guī)并不強(qiáng)制軟件公司做ISO27001，但政企采購和大型客戶的信息安全評審幾乎都要求或默認(rèn)優(yōu)先，投標(biāo)加分明顯，基本已是軟件企業(yè)標(biāo)配。其二，ISO27001與網(wǎng)絡(luò)安全等級保護(hù)的關(guān)系不同：等保是國家強(qiáng)制合規(guī)基線、偏技術(shù)安全建設(shè)；ISO27001是管理體系標(biāo)準(zhǔn)、偏風(fēng)險與流程管控，二者互補(bǔ)，可以同步建設(shè)，但定位不同，不能相互替代。認(rèn)證不分級，證書載明認(rèn)證范圍，即產(chǎn)品、服務(wù)與場所；ISO27001的審核核心是適用性聲明（SoA）與控制措施裁剪。

辦理條件與所需材料

條件上，企業(yè)需要是依法注冊登記的信息化相關(guān)組織；體系按標(biāo)準(zhǔn)運(yùn)行至少 3個月并有記錄；完成信息安全風(fēng)險評估與處置；建立信息安全方針、目標(biāo)與組織職責(zé)；完成內(nèi)部審核與管理評審。

材料通常包括營業(yè)執(zhí)照副本及行業(yè)資質(zhì)（如適用）；信息安全管理體系文件，含手冊、方針與程序；信息資產(chǎn)清單與風(fēng)險評估報告；適用性聲明（SoA）與控制措施清單；信息安全事件、備份、訪問權(quán)限等記錄；內(nèi)審報告、管理評審報告及整改記錄；安全培訓(xùn)記錄與應(yīng)急演練記錄。

流程與周期

常規(guī)路徑分六個環(huán)節(jié)：現(xiàn)狀診斷、風(fēng)險評估、文件編寫、運(yùn)行與培訓(xùn)、內(nèi)審與驗證、認(rèn)證審核與獲證。先調(diào)研企業(yè)信息安全現(xiàn)狀、資產(chǎn)與合規(guī)需求，建立資產(chǎn)清單并完成風(fēng)險識別、分析與評價，再編寫體系文件與適用性聲明，發(fā)布實施并開展信息安全意識培訓(xùn)；隨后組織內(nèi)審、風(fēng)險處置有效性驗證與管理評審；Zui后完成兩階段審核，整改后取得證書。

周期與費(fèi)用視企業(yè)規(guī)模與現(xiàn)有體系基礎(chǔ)而定，官網(wǎng)口徑為 3 至 6 個月常規(guī)周期，并稱可免費(fèi)評估認(rèn)證范圍、周期與費(fèi)用。

企業(yè)常踩的坑

信息資產(chǎn)清單不全，是Zui常見的起點問題。很多企業(yè)只登記了服務(wù)器和網(wǎng)絡(luò)設(shè)備，漏掉數(shù)據(jù)與人員，風(fēng)險評估的范圍隨之殘缺。風(fēng)險評估做完不處置，風(fēng)險與控制措施對應(yīng)不上，適用性聲明（SoA）照抄模板、與自身裁剪后的控制措施不一致，這幾處都是審核重點，也Zui容易失分。

運(yùn)行證據(jù)上，訪問權(quán)限、備份、事件處理記錄缺失，或與制度脫節(jié)，說明體系停在紙面。還有一類定位上的混淆：把 ISO27001當(dāng)成等保的替代項，或者反過來，以為做了等保就不必再做信息安全體系。兩者覆蓋的對象與落腳點不同，可以同步建設(shè)，但不能互相替代。Zui后是取證后的維護(hù)，年度監(jiān)督審核前倉促補(bǔ)材料，往往來不及梳理一年間的運(yùn)行痕跡。