先說個讓人頭大的事實：全國有169家認證機構能做ISO 27001認證，但真正審核員團隊扎實、行業(yè)經驗豐富的，你得瞪大眼睛挑。

頒證機構怎么選？

信息安全管理體系認證證書的頒證機構，必須是經國家認監(jiān)委批準、具備ISMS認證資質的第三方認證機構。國家認監(jiān)委明文規(guī)定，想干這行的機構，得有三年以上質量管理體系認證從業(yè)資格，還得配10名以上專職審核員。

目前國內主流機構分兩類。國內的包括中國質量認證中心（CQC）、中國網絡安全審查認證和市場監(jiān)管大數據中心（CCRC）、廣州賽寶認證中心（CEPREI）、華夏認證中心（CCCI）等。國際的有BSI、SGS、TüV南德等在國內設的認證分支。

選機構記住三個原則：第一，去認監(jiān)委官網查資質，查不到的再便宜也別碰；

第二，看你所在的行業(yè)是不是他們的強項——金融、醫(yī)療、軟件外包，各有各的門道；

第三，問清楚審核員是不是專職的，“掛靠型”機構在新規(guī)下已經不好使了。

辦理流程怎么走？

別被“信息安全管理體系”七個字嚇到，說白了就五步：

第一步，定范圍、組團隊。ISO27001不要求你把所有業(yè)務都納進來，可以先選核心業(yè)務系統(tǒng)或部門，建議先從核心業(yè)務切入，再逐步擴展。

第二步，資產盤點+風險評估。梳理認證范圍內的硬件、軟件、數據、人員，識別每項資產面臨的安全威脅和脆弱性。

第三步，體系搭建。編寫ISMS手冊、信息安全方針、風險管理辦法等體系文件。

第四步，體系運行+內審。體系建好后至少運行3個月，留下充分的運行記錄，然后做一次完整的內部審核和管理評審。

第五步，認證審核。由認證機構分兩個階段：第一階段審核文件的完整性和合規(guī)性，第二階段深入現場驗證控制措施的實際執(zhí)行效果。

整個周期從啟動到拿證，正常節(jié)奏是2到4個月。

流程看起來不復雜，但每一步都有細節(jié)。

廣州浩誠管理咨詢有限公司專注ISO體系認證咨詢多年，從范圍界定到文件編寫、從內審輔導到現場陪審，一站式幫你搞定。