河南ISO27001信息安全管理体系⭐18734859001

发布：中正国际认证

2026-04-21

22次

一、前期准备阶段（1-2个月）。首先组建专项项目组，建议由企业高层管理者牵头，覆盖IT、安全、行政、业务等相关部门，明确各岗位职责，确保资源投入到位。其次开展标准培训，组织相关人员系统学习ISO20000和ISO27001两项国际标准及河南本地相关合规要求，明确双体系的核心管控要点。随后进行现状诊断与差距分析，对照两项标准梳理企业现有IT服务流程、信息安全管理制度与标准的差异，输出差距报告并制定针对性改进计划。最后确定认证范围，明确企业需认证的业务线、服务场所、IT服务类型及信息资产范围，同时选择经国家认监委（CNCA）批准、具备CNAS认可资质的正规认证机构，优先选择河南本地机构或设有服务网点的机构，确认联审方案与相关费用，签订认证服务合同。

二、体系搭建与文件编制阶段（1个月）。结合企业实际业务场景，同步编制ISO20000和ISO27001两套体系的完整文件，避免重复编制、提高效率。通用文件包括管理手册、内部审核计划、管理评审计划、岗位职责说明书等；ISO20000专项文件涵盖16项核心流程文件、服务级别协议（SLA）、供方管理协议等；ISO27001专项文件包含信息资产清单、风险评估报告、访问控制制度、安全事件管理流程等。文件编制完成后，组织内部研讨修订，确保文件的合规性、可操作性，修订完善后正式发布实施，作为体系运行的核心依据。

三、体系试运行阶段（不少于3个月）。两套体系正式落地运行，严格按照编制的文件要求执行各项流程，同步积累完整的运行记录，包括IT服务工单处理记录、变更审批单、信息安全权限审批文件、安全事件处置记录、员工培训记录等。试运行期间，定期监控体系运行KPI，收集流程执行中的问题并及时优化，同时组织全员开展体系相关培训，确保各岗位人员熟悉流程规范，避免出现“体系与业务两张皮”的情况，确保体系真正落地执行而非单纯文件堆砌。

四、内部审核与管理评审阶段（1个月）。试运行满3个月后，组织开展两套体系各自对应的内部审核，由具备相应资质的内审员（建议至少2名，具备相关标准培训合格证明）按计划全面审核，识别体系运行中的不符合项，出具内审报告并推动整改，确保所有不符合项完成闭环。内部审核整改完成后，由企业高层牵头主持管理评审，全面评估两套体系运行的有效性、适宜性和充分性，结合企业业务发展需求优化体系流程，形成规范的管理评审报告，确认体系具备认证审核条件。

五、认证审核阶段（1-2个月）。向选定的认证机构提交认证申请及相关材料，包括营业执照、行业许可、体系文件、内审报告、管理评审报告、运行记录等。认证机构采用双体系联合审核模式，分为两个阶段开展审核：一阶段为文件审核，审核组远程或现场审查两套体系文件的完整性、合规性，确认文件符合两项标准要求，提出修改意见（如有），企业完成整改后进入下一阶段；二阶段为现场审核，审核人员实地核查，通过访谈员工、查阅运行记录、观察现场操作等方式，验证两套体系的实际运行效果，重点核查流程落地情况与记录真实性，识别不符合项，企业需在规定期限内（一般项15天、严重项30天）完成整改并提交验证材料，审核组确认整改有效后，出具审核报告并推荐发证。

六、发证与后续维护阶段。认证机构技术委员会审核通过后，颁发ISO20000和ISO27001双认证证书，证书有效期均为3年，可在国家认监委官网查询真伪。获证后，企业需建立持续改进机制，每年配合认证机构完成一次监督审核（首次监督审核在获证后12个月内），及时整改审核中发现的问题，确保体系持续有效运行；证书到期前3个月，需向认证机构申请再认证审核，通过后换发新证，避免证书失效影响企业正常经营及招投标需求。