ISO 27001（ISMS）认证的流程与周期｜从启动到注册的8个步骤

认证的整体流程与周期参考

ISO/IEC 27001 认证从确定适用范围开始，依次经过风险评估、文件编制、体系运行、内部审核与管理评审，最后接受认证机构的第一阶段审核与第二阶段审核。对于100人以内的IT企业，从启动到注册通常需要6至12个月；内部规章与安全运维基础较好的组织，往往可以落在较短的一端。

影响周期的最大因素不是文件的数量，而是运行记录的积累。审核通过记录确认体系是否按文件要求实际运行，因此通常做法是在文件齐备后再留出至少约3个月的运行期再安排审核。关于费用可参考ISMS认证的费用。

PDCA与ISO/IEC 27001:2022 第4至10章的对应

ISO/IEC 27001:2022 的要求由第4章至第10章构成，可直接对应PDCA循环。按照这一结构编制项目计划，更不容易出现遗漏。

• Plan（策划）— 第4章“组织环境”、第5章“领导作用”、第6章“策划”。适用范围、信息安全方针、风险评估与风险处置、适用性声明（SoA）、信息安全目标都在这里。
• Do（实施）— 第7章“支持”、第8章“运行”。能力与意识（培训）、沟通、成文信息的控制，以及日常运行与记录的产生。
• Check（检查）— 第9章“绩效评价”。监视测量分析评价、内部审核、管理评审构成自查三件套。
• Act（改进）— 第10章“改进”。不符合与纠正措施，以及持续改进。内部审核与外部审核提出的问题在这里闭环。

附录A的控制措施（2022版分为组织、人员、物理、技术四个主题，共93项）依据第6章的风险评估结果确定是否适用。记录这些判定及其理由的文件即适用性声明（SoA），是审核必查的核心文件。风险评估的具体做法请见ISMS风险评估的推进方法。

从启动到注册的8个步骤

1. 建立组织体系、确定适用范围 — 取得管理层批准，任命ISMS负责人与工作组，确定组织、场所、服务与信息资产的边界，发布信息安全方针。
2. 差距分析 — 将现有内部规章与实际做法同第4至10章要求及附录A控制措施逐条对照，列出不足。该清单即为后续任务清单。
3. 风险评估、风险处置计划与适用性声明（SoA） — 梳理信息资产，从保密性、完整性、可用性角度识别、分析、评价风险，依据接受准则确定处置方式，并汇总为SoA。
4. 文件编制 — 编制信息安全方针、各项制度（访问控制、资产管理、供方管理、业务连续性、事件响应等）、作业程序与表单。以现有内部规章为基础，写到员工能够实际执行的颗粒度。所需文件全貌可参考ISMS所需文件清单。
5. 体系运行与记录积累 — 实际按制度运行，留下培训记录、资产台账更新、访问权限授予与复核记录、供方评价、事件记录、变更记录等证据。通常认为至少需要约3个月的运行期。
6. 内部审核 — 制定审核计划，由具备独立性的审核员覆盖全部要求与已适用的控制措施实施审核。发现的问题作为纠正措施记录，并设定期限闭环。
7. 管理评审 — 将内部审核结果、风险变化、目标达成情况、安全事件、相关方意见等报告管理层，决定资源投入与改进方向，并形成会议记录。
8. 选择认证机构、提交申请并接受审核 — 向获得认可的认证机构提交申请，接受第一阶段审核（文件审核）与第二阶段审核（运行审核），对提出的问题提交纠正措施，经认证决定后取得注册。

第一阶段审核与第二阶段审核关注什么

第一阶段审核（文件审核）

该审核确认成文的ISMS是否满足标准要求、适用范围与SoA是否一致、是否具备接受第二阶段审核的条件。方针、风险评估方法与结果、SoA、内部审核与管理评审记录是主要检查对象。若在此发现准备不足，通常会将第二阶段审核的日程后移。

第二阶段审核（运行审核）

该审核通过现场访谈与记录核查，确认体系是否按文件实际运行。出入记录、访问权限复核、培训实施记录、供方评价、漏洞处理与事件响应履历等实际证据都会被查阅。发现的问题按严重程度分类，视情况提交纠正措施计划或纠正完成报告，经认证机构确认后进入认证决定。

月度进度示例（10个月模型）

以下是50至100人规模的IT企业、部分借助外部支持推进时的一个示例。实际时间会随组织情况前后浮动，请结合自身情况调整。

认证机构的选择与申请建议在第一阶段审核前3至4个月着手，以便留出日程协调的余地。旺季较难预约到理想日期，因此在开始运行的同时并行询价是比较现实的做法。

四个常见的卡点

• 适用范围铺得过大 — 首次认证就覆盖全部实体、场所与服务，会让资产梳理、文件编制与证据收集同时膨胀。先聚焦主要服务与总部，待再认证时再扩大，也是可行的路径。
• 把文件编完当作终点 — 仅靠套模板填写的制度容易与现场实际脱节。第二阶段审核看的不是文件本身，而是按文件运行留下的记录。颗粒度应以“编写者以外的人也能照做”为标准。
• 做了但没有记录 — 实际执行了却没有记录日期、执行人、对象与结果的情况非常普遍。培训、权限复核、供方评价、备份检查等应在执行的同时完成记录。
• 内部审核流于形式 — 只在检查表上打勾的审核不会产生问题项，也就不会带来改进。应确保审核员的独立性，并抽样核查实际记录。

获证之后：监督审核与再认证审核

取得认证并非终点，后续还有维持体系的审核。通常的做法是注册后大致每年接受一次监督审核，并每三年接受一次再认证审核。监督审核的范围往往比初次审核更集中，但内部审核与管理评审仍需每年实施。

也就是说，认证项目中建立的运行循环，需要按照“每年都要转起来”的前提来设计。如果证据收集依赖某一位负责人的手工作业，从第二年起负担会明显上升，也更容易出现记录缺失。

用工具统一管理进度与证据

认证项目涉及信息资产台账、风险登记表、SoA、文件版本管理、培训完成情况、内审问题与纠正措施、管理评审记录等大量信息。若分散在电子表格与共享文件夹中，就很难看清进展到哪一步、缺少哪些证据，结果往往是审核前集中补齐、耗费大量时间。把风险、控制措施、文件与记录在一个工具中相互关联管理，进度与缺口可以即时可见，后续年度的维持也能沿用同一套机制。

如果希望先弄清自己目前处于哪个阶段、接下来该从什么入手，可以从ISMS现状自查开始。

本文仅供一般信息参考，不保证任何审核结果或认证获取。制度与费用可能变化，请向认证机构确认最新信息。