iso27001认证流程是怎么样？

ISO27001的审核流程比较复杂，而且申请ISO27001认证，ISO27001体系文件必须要运行3个月，进行过一次内审和管理评审，才能提交给审核方。

我们来看下ISO27001认证的具体流程是怎么样的？

一、现状调研阶段：

从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包括：

• 项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。

• 前期培训：信息安全管理基础，风险评估方法。

• 现状评估：初步了解信息安全现状，分析与ISO27001标准要求的差距。

• 业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。

二、风险评估阶段：

对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。 包括：

• 资产识别：识别贵公司的各种信息资产。

• 风险评估：重要资产、威胁、弱点、风险识别与评估。

三、管理策划阶段：

根据贵公司对信息安全风险的策略，制定相应信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。包括：

• 文件编写：编写ISMS各级管理文件，进行Review及修订，管理层讨论确认。

• 发布实施：ISMS实施计划，体系文件发布，控制措施实施。

• 中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核。

四、体系实施阶段：

ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。包括：

• 认证申请：与认证机构切磋商，准备材料申请认证，制定认证计划，预审核。

• 后期培训：审核员等角色的专z业技能培训。

• 内部审核：审核计划，Checklist，内部审核，不符合项整改。

• 管理评审：信息安全管理委员会组织ISMS整体评审，纠正预防。

五、认证审核阶段：

经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。包括：

• 认证准备：准备送审文件，安排部署审核事项。

• 协助认证：内部审核小组陪同协助，应对审核问题。

• 认证通过：颁发认证证书。

ISO27001认证一般要经过以下几个主要步骤： 

1、ISO27001认证策划与准备 

策划与准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及人力资源的配置与管理。 

2、ISO27001认证确定信息安全管理体系适用的范围 

信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。 

3、ISO27001认证现状调查与风险评估 

依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。 

4、ISO27001认证建立信息安全管理框架 

建立信息安全管理体系要规划和建立一个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。 

5、ISO27001认证体系文件编写 

建立并保持一个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有：安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。 

6、ISO27001认证体系的运行与改进 

信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。 

7、ISO27001认证体系审核 

体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础；外部审核由外部独立的组织进行，可以提供符合要求的认证或注册。 至于应采取哪些控制方式则需要周密计划，并注意控制细节。信息安全管理需要组织中的所有雇员的参与，比如为了防止组织外的第三方人员非法进入组织的办公区域获取组织的技术机密，除物理控制外，还需要组织全体人员参与，加强控制。此外还需要供应商，顾客或股东的参与，需要组织以外的专家建议。信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性。