什么是 ISO 27001？如何获得认证

一位客户发来一份供应商评估表，其中一个问题格外醒目：“贵公司是否持有 ISO 27001 证书？”本文将介绍什么是 ISO 27001、证书由谁颁发，以及企业如何为这一过程做准备。

什么是 ISO 27001？

其正式名称为 ISO/IEC 27001，是信息安全管理体系（ISMS；土耳其语为 BGYS）的国际标准。按照 ISO 自己的描述，它是该领域全球最知名的标准，规定了信息安全管理体系必须满足的要求。

该标准面向各种规模、各个行业的企业。其目的是为企业建立、实施、保持和持续改进其信息安全管理体系提供一个框架。

关于缩写简要说明一下：在日常用语中，该标准被称为“ISO 27001”。但由于它由 ISO 和国际电工委员会（IEC）联合发布，其正式缩写为 ISO/IEC 27001。

现行版本是哪一版？

根据 ISO 的标准页面，现行版本为 ISO/IEC 27001:2022。该标准的第三版于 2022 年 10 月发布。此前的 2013 版已被废止。2024 年，针对 2022 版发布了一项引入气候行动相关变更的修正案（ISO/IEC 27001:2022/Amd 1:2024）。

这一细节很重要，因为 ISO 建议始终以完整编号引用该标准：使用“通过 ISO/IEC 27001:2022 认证”，而不是“ISO 27001 认证”。在审查供应商的证书时，需要核实证书是依据哪个版本颁发的。

该标准旨在保护的三项内容

ISO 通过信息安全的三项原则来阐释该标准的基础：

原则	ISO 的描述	风险示例（ISO）
保密性	只有经授权的人员才能访问信息	客户的登录信息被盗并被出售
完整性	数据得到可靠存储，不被删除或损坏	员工在处理过程中意外删除了文件中的一行
可用性	需要时能够访问信息	由于服务器问题和备份不足，数据库下线

根据 ISO 的说法，满足该标准要求的体系通过实施风险管理过程来保护这三项属性，并使相关方确信风险得到了充分管理。该标准并非仅依靠技术来实现这一点，而是采用将人员、政策和技术统一考虑的整体方法。

证书由谁颁发？

这是最常被混淆的一点。ISO 自己的说明很明确：ISO 不开展认证，也不颁发证书。认证由独立的认证机构进行。换言之，企业不可能“由 ISO”认证。

ISO 对这两个概念作了如下区分：

认证（Certification）： 由独立组织书面保证（证书）某一产品、服务或体系符合规定的要求。
认可（Accreditation）： 由独立机构（认可机构）正式承认某一认证机构的运作符合国际标准。

在土耳其，认可机构是 TÜRKAK（土耳其认可机构）。ISO 指出，从经认可的机构获得的证书可以提供额外一层信心，因为认证机构的能力已经过独立验证。同一说明还指出，认可并非强制性的，未获认可并不意味着某一机构不值得信赖。

如何选择认证机构？

ISO 的建议可归纳为三点：

比较多家机构。
核实该机构在认证过程中是否采用相关的 CASCO 标准（ISO 合格评定委员会的标准）。
核实其是否获得认可。为此，您可以联系本国的国家认可机构，或查阅国际 IAF CertSearch 数据库。

如何核验证书？

为核验供应商出示的证书，ISO 指出了两种途径：在 IAF CertSearch 数据库中搜索该证书，或直接询问颁发该文件的认证机构或认可机构。在土耳其，TÜRKAK 的 Belge Doğrulama Sistemi（证书核验系统）可以对经 TÜRKAK 认可的机构颁发的管理体系证书进行电子核验。

为认证做准备：从哪里开始？

由于该标准本身是一份要求清单，准备工作就是构建管理体系的工作；它不是一次性的技术项目。以下顺序并非标准的条款，而是用于规划准备工作的通用框架：

确定范围。 体系是覆盖整个公司，还是特定的部门或服务？
盘点信息资产。 哪些数据、系统和流程需要保护？
评估风险。 针对每项资产，写明在保密性、完整性和可用性方面可能出现什么问题，以及会产生什么影响。
选择并实施控制措施。 在访问权限、备份、供应商管理和事件响应等领域，按照风险程度采取相应措施。
让员工参与。 正如 ISO 所强调的，信息安全不仅关乎技术；它是人员和政策的问题。
开展内部审核和管理评审。 然后向您选定的认证机构申请审核。

认证是自愿的。根据 ISO 的说法，一些企业应用该标准只是为了从其中包含的良好实践中获益，而另一些企业还会获取证书，以便向客户提供保证。

普及程度如何？

根据 ISO 引用的 ISO Survey 2022 数据，在 150 个国家、从农业和制造业到社会服务的各个经济部门中，共报告了超过 70,000 张 ISO/IEC 27001 证书。根据 ISO Survey 2021，大约每五张有效证书中就有一张属于信息技术行业。

结论

ISO 27001 是一个将信息安全从 IT 话题转变为企业管理组成部分的框架。在开始认证之旅之前，厘清三个问题会让您的工作更轻松：范围是什么，哪些是您最关键的信息资产，以及您将从哪家经认可的机构获取证书？

为什么物流经验在这里很重要。 任何管理过仓库或配送网络的人都会对上述准备步骤感到熟悉。确定范围就像决定哪些站点和流程属于网络设计的一部分；信息资产盘点就像库存盘点，因为您无法保护尚未列出的东西；内部审核和管理评审则对应着使库存记录保持准确的循环盘点与核对流程。第 4 步中提到的控制措施之一——供应商管理——在依靠承运商和仓储合作伙伴运转的运营中同样是一项日常规范。我们的一位顾问在运营、物流和供应链领域拥有30 多年经验：他曾在一家大型科技分销企业全面负责物流、仓储、技术服务和行政运营，组建并领导 100 多人的团队，并通过以 KPI 为导向的项目实现了持续改进。他还曾在领先的零售、物流和分销组织中管理全国性的仓储和运输业务、大规模配送网络以及网络与产能规划。作为一名工业工程师，他如今通过 AI 和自动化将这种供应链管理规范带给中小企业。了解我们的顾问。

#interimmanagement #forwarddeployedengineering

什么是 ISO 27001？如何获得认证