留言加盟
北京 ISO27001（ISO/IEC27001:2022 / GB/T22080-2022）认证材料清单
北京审核特点：重点核查数据安全法、个人信息保护法相关证据，政务、软件企业材料要求更严；所有运行记录必须是连续≥3 个月真实记录，不能集中后补
一、基础申请资质材料（提交认证机构，一阶段初审）
1. 认证机构制式《认证申请书》（盖章），明确认证范围、所有场所地址（多场所全部列明）
2. 营业执照复印件（加盖公章）；事业单位提供登记证书
3. 法人身份证、信息安全负责人 / 管理者代表任命文件
4. 组织架构图、业务流程图、网络拓扑图、机房平面图
5. 行业许可（按需）：ICP、等保备案证明、IDC、医疗、金融相关资质
6. 信用材料：无重大网络安全 / 数据处罚承诺、失信查询截图（北京机构大多要求）
二、ISMS 体系文件（受控、带版本号，一阶段文审核心）
1. 信息安全管理手册：ISMS 范围、信息安全方针、安全目标、职责分配、体系框架
2. SoA 适用性声明（重中之重）：附录 A 93 项控制措施逐条标注适用 / 不适用，不适用项必须写清楚排除理由，北京审核员对 SoA 审查非常严格
3. 风险整套文件：
◦ 信息资产清单（资产名称、责任人、密级、存储位置）
◦ 风险评估报告、风险台账、风险处置计划、残余风险评估
4. 必备程序文件：
文件记录控制、内审、管理评审、纠正措施、风险评估、访问控制、人力资源安全、物理安全、供应商安全、信息安全事件、业务连续性、合规性评价
5. 三级管理制度 / SOP：
账号权限管理、机房管理、数据备份、移动介质、保密、漏洞补丁、开发安全、外包管理、应急预案等
三、运行证据记录（至少连续 3 个月，二阶段现场抽查核心）
1. 内审全套：内审计划、内审检查表、内审报告、内审发现不符合项 + 整改验证资料
2. 管理评审全套：管理评审计划、评审输入资料、管理评审报告、后续改进任务
3. 人员安全：入职保密协议、离职人员账号注销记录、权限审批台账、信息安全培训（计划、课件、签到、考核）
4. IT 运维：机房巡检记录、病毒 / 防护日志、漏洞扫描报告、服务器巡检、变更审批记录
5. 备份：备份执行记录、备份恢复测试记录（北京很多审核员必查）
6. 供应商：服务商安全评估、外包合同里的信息安全保密条款
7. 事件与应急：安全事件处置记录、应急预案、应急演练方案、签到、演练总结报告
8. 监控测量：安全目标监测记录、合规性评价记录
四、额外补充材料（北京企业高频要求）
1. 个人信息保护相关：用户授权模板、隐私政策、数据分类分级台账（涉及个人信息业务必查）
2. 等保联动：已做等保的企业提供等保测评报告、整改资料
3. 多场所：各地址人员清单、各场所资产与安全负责人
4. 外包开发、云上业务：云服务商安全协议、云资源权限管控记录