首页质量体系认证
ISO9001 质量管理体系认证
ISO14001 环境管理体系认证
ISO45001 职业健康安全认证
ISO13485 医疗器械质量管理体系
IATF16949 汽车行业质量管理体系
ISO22000 食品安全管理体系
HACCP 危害分析与关键控制点
FSSC22000 食品安全体系认证
BRCGS 全球食品安全标准
IFS 国际食品标准
FSMA 食品安全现代化法案
FSVP 外国供应商验证计划
GMP 良好生产规范
ISO22716 化妆品良好生产规范
ISO17025 实验室能力认可
ISO27001 信息安全管理体系
ISO50001 能源管理体系
ISO14064 温室气体盘查
ISO14067 产品碳足迹
ISO27001 信息安全管理体系
一、认证简介
ISO/IEC 27001 是信息安全管理体系国际标准，现行版本为 2022 版。它的核心不是"买设备、上系统"，而是先做风险评估、再按风险选择控制措施，最后用文件与记录证明这些措施在持续运行。2022 版把附录 A 的控制措施重组为四个主题：组织控制（37 项）、人员控制（8 项）、物理控制（14 项）、技术控制（34 项），共 93 项。企业需编制适用性声明（SoA），逐项说明采用或不采用的理由。证书有效期 3 年，年度监督审核。
二、认证的好处
- 客户与投标准入：金融、软件外包、跨境电商、数据处理类客户，普遍把 27001 写进供应商准入条件
- 降低数据泄露风险：资产盘点 + 风险评估能找出"谁在什么权限下能碰到什么数据"，比堆设备有效
- 满足法规与合同要求：个人信息保护法、GDPR 的数据安全义务，可用体系文件作为合规证据
- 减少客户安全问卷：持证后多数客户的百项安全问卷可大幅简化
- 与业务连续性衔接：事件管理、备份、应急演练落实后，勒索软件与系统故障的损失可控
三、认证的要求
- 风险评估与处置：识别信息资产、威胁与脆弱点，评估风险等级并制定处置计划，形成风险台账
- 适用性声明（SoA）：对 93 项控制逐条说明采用/不采用及理由，不能空白
- 组织与人员控制：信息安全方针、职责分工、意识培训、离职与调岗权限回收、保密协议
- 物理与技术控制：机房与办公区出入管控、设备管理、访问控制与身份鉴别、日志与监控、加密与备份
- 运行与改进：事件管理、业务连续性、供应商安全评估、内审与管理评审、不符合项纠正
四、认证的内容
- 范围界定：明确认证覆盖的组织单元、场所、系统与业务，范围定得过宽会显著增加工作量
- 风险评估实施：资产清单、风险分析、风险处置计划与残余风险接受记录
- 体系文件与运行记录：方针、程序、SoA、访问审批、日志审计、培训与演练记录
- 认证审核：第一阶段体系与文件评审，第二阶段现场审核（含技术抽查、渗透或配置核查）
- 监督与再认证：年度监督审核，3 年再认证；重大变更（上新系统、迁云）需评估风险并更新体系
