现行版本是 2022 版（93 项控制措施），不要再用 2013 版旧模板，直接会开不符合项

一、前期 & 范围界定（最容易踩坑）

1. 范围不要盲目写全公司

可以只写：软件研发、运维、数据服务等业务模块；但数据、云平台、外包服务商只要在业务链路里，就要纳入评估，不能人为漏掉。证书上写的范围，就是甲方、招标方抽查的范围。

标准 4-10 章核心条款不能排除；只有附录 A 的控制项可以选 “不适用”，并且必须写清楚合理理由，不能随便勾选不适用

2. SoA 适用性声明是核心文件

逐条对应 93 项控制措施，不适用项理由要经得起审核；SoA 要和风险评估、资产清单一一对应，不能独立写一份空表

3. 先自查处罚记录

企业、法人近段时间有网信、公安、数据安全、网络安全重大处罚，基本无法受理；招投标、北京政务项目审核这块更严。

二、体系试运行硬性要求（红线）

✅ 体系必须连续试运行≥3 个月，不是从写文件那天算，是制度落地、开始产生运行记录起算；

❌ 不要相信 “不用试运行、快速拿证”，属于虚证，认监委、甲方抽查直接失效。

• 满 3 个月之后，必须完成内审 + 管理评审，两份报告缺一不可，这是高频严重不符合项来源

• 所有记录时间线要连贯：培训、权限、备份、巡检、变更、日志、演练，不要集中后期一次性补记录，现在审核会交叉核对时间

三、文件与证据准备（审核重点）

1. 风险评估不能走形式

资产盘点要真实，区分密级；风险评估方法统一，风险处置计划落地，残余风险可接受，不是随便打分。

2. 高频必查证据（很多企业栽在这里）

• 备份：不仅要备份记录，还要有备份恢复测试记录（只备份、从来不恢复测试，基本必开不符合）

• 账号权限：入职、调岗、离职账号注销流程、权限定期复核记录，高权限账号重点管控

• 供应商安全：外包、云服务商合同里要有信息安全保密条款，重要供方要做安全评估

• 应急：应急预案 + 真实演练记录（方案、签到、演练总结、问题改进），不是只放一个文档

• 日志留存：日志保存时长要满足等保、数安法要求，很多审核默认至少留存 6 个月以上

• 安全培训：全员信息安全意识培训，有课件、签到、考核记录，不是只培训一次就结束

3. 新版 2022 新增控制重点：威胁情报、云服务安全、配置管理、数据删除、数据防泄漏、业务连续性，云上企业重点准备

四、选认证机构避坑

1. 必须在 CNCA（国家认监委）备案，发证后证书可在【全国认证认可信息公共服务平台】查询；无备案机构证书招投标无效。

2. 优先匹配需求：做北京政务、央国企项目，优先选北京本地有服务网点、可配合甲方溯源抽查的机构。

3. 联审提醒：搭配 ISO20000 联审，共用部分记录，节省审核人日和费用；但内审、管理评审要分开，不能完全共用一份。

五、审核现场注意

1. 管理者代表、信息安全负责人、IT、业务人员要清楚制度内容，审核员会随机访谈基层员工；员工完全不知道制度，容易开问题。

2. 区分严重不符合 / 一般不符合：

◦ 严重不符合：体系失效、内审 / 管评缺失、大范围造假，不能发证，整改周期长

◦ 一般不符合：局部漏洞，按要求提交整改证据、闭环即可

3. 不要和审核员争执，先记录问题、原因分析、整改方案，按时限提交佐证材料。