1什么是ISO27001认证？
ISO27001信息安全管理体系认证（ISMS）是企业依据ISO/IEC 27001标准建立信息安全管理体系，经认证机构审核合格后颁发的合格评定证书。旨在保护信息的机密性、完整性和可用性。
标准依据：- ISO/IEC 27001:2022（最新版本）
- GB/T 22080-2016（中国等同采用）
- 认监委（CNCA）主管，CNAS认可
核心价值：招投标加分、满足客户安全要求、数据合规（《数据安全法》《个人信息保护法》）、云服务/金融外包准入、降低数据泄露风险。
2哪些企业需要办理？
| 场景 | 是否需要 |
|---|
| IT/互联网/云计算/数据中心 | 强烈需要 |
| 金融科技/支付/银行外包 | 需要 |
| 政府信息化项目外包 | 需要（常为准入条件） |
| 医疗机构/健康数据管理 | 需要 |
| 参与涉密/敏感信息项目 | 需要 |
| 普通制造业无数据处理 | 非必须 |
3办理条件
| 序号 | 条件 | 具体要求 |
|---|
| 1 | 主体资格 | 合法独立法人，有效营业执照 |
| 2 | 经营时间 | 实际经营满3个月以上 |
| 3 | 体系运行 | 按ISO27001建立ISMS，运行满3个月 |
| 4 | 内审与管理评审 | 完成至少1次内审和1次管理评审 |
| 5 | 风险评估 | 完成全面信息安全风险评估并制定风险处置计划 |
| 6 | 适用性声明 | 编制SoA（Statement of Applicability），明确所选控制措施 |
4核心认证内容
| 模块 | 内容 |
|---|
| 信息安全方针 | 制定安全方针和目标 |
| 风险评估与处置 | 识别资产/威胁/漏洞，评估风险，制定处置计划 |
| 访问控制 | 用户管理、权限分配、密码策略 |
| 网络安全 | 防火墙、入侵检测、网络分段 |
| 事件管理 | 安全事件报告、响应、调查 |
| 业务连续性 | 灾备计划、应急响应 |
| 合规性 | 法律法规合规、隐私保护 |
| 物理安全 | 机房/办公场所物理访问控制 |
附录A控制措施：ISO27001:2022附录A包含93项控制措施（组织类37项、人员类8项、物理类14项、技术类34项），企业需根据风险评估结果选择适用控制并编制SoA。
5办理流程与周期
- 1体系建立：风险评估、编写ISMS文件、实施控制措施
- 2体系试运行+内审+管理评审
- 3提交申请+合同评审
- 4第一阶段审核（文审+风险评估审查）
- 5第二阶段审核（现场审核，重点查控制措施实施）
- 6不符合项整改
- 7评定发证
| 步骤 | 环节 | 时长 |
|---|
| 1 | 体系建立：风险评估、编写ISMS文件、实施控制措施 | 2-4月 |
| 2 | 体系试运行+内审+管理评审 | 3个月 |
| 3 | 提交申请+合同评审 | 3-5天 |
| 4 | 第一阶段审核（文审+风险评估审查） | 1-2天 |
| 5 | 第二阶段审核（现场审核，重点查控制措施实施） | 2-5天 |
| 6 | 不符合项整改 | ≤30天 |
| 7 | 评定发证 | 5-10天 |
整体周期5-8个月（含体系运行）；已有体系仅需30-45个工作日。证书有效期3年，每年1次监督审核。
6费用参考
| 企业规模 | 初审费用 | 监督审核费/年 |
|---|
| 小微企业（≤50人） | 15,000-25,000元 | 7,000-12,000元 |
| 中型企业（50-500人） | 25,000-50,000元 | 12,000-25,000元 |
| 大型企业（500人以上） | 50,000-150,000元 | 25,000-75,000元 |
费用说明：ISO27001费用普遍高于ISO9001，因为信息安全审核的技术复杂度更高。咨询辅导费另计（10,000-30,000元）。
7常见问题
Q1：ISO27001认证适合什么企业？
适合处理大量敏感数据的行业：IT/互联网、金融科技、云计算服务商、医疗机构、政府外包商、数据处理企业等。涉及个人信息保护、商业秘密管理的组织均适合办理。
Q2：ISO27001和等保有什么区别？
等保（网络安全等级保护）是中国法律强制的安全评估制度，由公安机关测评；ISO27001是国际自愿性认证，由认证机构审核。两者关注点不同但互补，企业可能都需要。
Q3：ISO27001:2022和旧版有什么区别？
2022版将控制措施从114项精简为93项，重新分为组织、人员、物理、技术四大类。新增了威胁情报、云安全、数据脱敏等现代安全要求。旧版证书需在过渡期内升级。
Q4：如何查验证书真伪？
登录国家认监委官网（cx.cnca.cn）查询。正规证书均可在该系统查到。
8与其他安全资质的关系
| 资质 | 审批/认证方 | 性质 | 与ISO27001关系 |
|---|
| 等保2.0 | 公安机关 | 中国强制 | 互补，关注点不同 |
| ISO27001 | 认证机构 | 国际自愿 | — |
| 信息安全服务资质 | 中国信息安全测评中心 | 中国自愿 | 面向安全服务商 |
| CSA STAR | CSA+认证机构 | 国际自愿 | 云安全专项，可整合 |
9认证机构选择
| 机构类型 | 特点 |
|---|
| 国际机构（BSI、SGS、DNV等） | 国际认可度高，技术审核能力强 |
| 国内头部（CQC、赛西等） | 国内认可度高，价格适中 |
| 国内普通机构 | 费用较低，但信息安全审核能力参差 |
务必在认监委官网（cx.cnca.cn）查询机构资质。信息安全审核对审核员技术能力要求高，建议选择有信息安全专长的机构。
10相关资质推荐
不确定自己需要办哪些资质？
资质鹰免费为您诊断企业所需资质清单
免费资质诊断