新增 江苏企业申请ISO 27001信息安全管理体系认证需要哪些步骤？

ISO 27001认证申请核心步骤

一、信息安全管理体系（ISMS）策划与建立

• 明确信息安全方针与范围，覆盖所有关键业务及信息资产。
• 组建跨部门信息安全管理委员会，任命管理者代表推动项目。
• 依据ISO 27001附录A控制项，结合业务制定适用性声明（SoA）。

二、风险评估与风险处置

• 采用资产-威胁-脆弱性方法论全面识别信息资产风险。
• 制定风险处置计划，选择规避、转移、降低或接受风险。
• 输出风险评估报告和剩余风险清单，获得管理层批准。

三、体系运行与文档化

• 编制信息安全手册、程序文件、作业指导书及记录四级文件。
• 开展全员信息安全意识培训，重点宣贯访问控制、密码管理、事件上报等要求。
• 实施内部审核与管理评审，确保体系符合性、充分性与有效性。

四、选择认证机构与外部审核

• 向具备国家认监委批准资质的认证机构提交申请，签订合同。
• 第一阶段审核：文件评审与现场初访，确认体系策划及准备状态。
• 第二阶段审核：全面现场验证，核查控制措施执行情况与合规证据。
• 通过后获颁ISO 27001证书，有效期三年并每年监督审核。