如何获得 ISO 27001 认证
按 Paul Gillet · 更新于 2026-10-17
ISO/IEC 27001 是信息安全管理体系（ISMS）的国际标准，规定组织如何确定哪些安全风险需要重视、如何处置这些风险，并持续改进。与 SOC 2 不同，它以证书告终，由经认可的认证机构颁发，有效期为三年，期间设有监督审核。
标准的要求
- 第 4–10 条为强制性条款：背景与范围（第 4 条）、领导作用与方针（第 5 条）、风险评估、风险处置与目标（第 6 条）、资源、能力、意识、沟通和形成文件的信息（第 7 条）、计划的运行（第 8 条）、监视、内部审核和管理评审（第 9 条），以及纠正措施与改进（第 10 条）。
- 附录 A 列出了四个主题下的 93 项控制措施：组织类、人员类、物理类和技术类。它们是参考集，而非检查清单：您通过风险处置选择控制措施，并在适用性声明（SoA）中说明每项纳入和排除的理由。
现行版本为 ISO/IEC 27001:2022（2024 年修订增加了背景条款中的气候变化内容）。从 2013 版过渡的期限于 2025 年 10 月 31 日结束，因此所有有效证书现均依据 2022 版。
步骤
- 确定范围（4.3）：组织的哪些部分、哪些地点和哪些服务。客户会在您的证书上查看范围，因此请确保其覆盖客户所购买的内容。
- 获得领导层承诺（5）：信息安全方针、分配的角色与职责，以及资源。
- 定义风险评估方法并实施（6.1.2）：识别对保密性、完整性和可用性的风险，并明确风险负责人、可能性和影响。
- 处置风险（6.1.3）：选择控制措施，与附录 A 进行比对，并编制适用性声明以及经风险负责人批准的风险处置计划。
- 设定可度量的安全目标（6.2），并规划实现这些目标的方式。
- 实施与运行（7–8）：方针、程序、培训与意识教育、控制措施，以及证明其持续运行的形成文件的证据。
- 测量与评审（9）：监视 ISMS，开展由独立于被审核工作的人员实施的内部审核，并召开管理评审。
- 整改发现的问题（10）：记录不符合项及纠正措施。
- 第一阶段审核：认证机构审查您的文件和准备情况。
- 第二阶段审核：认证机构检验 ISMS 在实践中是否有效运行。证书颁发前，主要不符合项必须关闭。
选择认证机构
请选择由属于国际认可论坛（IAF）的国家认可机构（例如 UKAS、ANAB、DAkkS 或 JAS-ANZ）就 ISO/IEC 27001 授予认可的机构，并核实其认可范围是否涵盖您的范围。未经认可机构颁发的证书价格较低，但往往不被客户接受。
典型时间表
许多中小型组织从启动到取得证书需要六至十二个月。在第二阶段审核前，ISMS 需要运行足够长的时间以形成真实记录，至少包括一次内部审核、一次管理评审，以及控制措施运行的证据。认证后，第一年和第二年将进行监督审核，第三年进行再认证审核。
审核员关注的证据
- 范围、安全方针以及目标，并附测量结果；
- 风险评估方法、风险登记册和风险处置计划；
- 适用性声明及其理由说明；
- 能力与培训记录；
- 内部审核报告和管理评审会议纪要；
- 不符合项及纠正措施日志；
- 所选控制措施的运行记录：访问权限复核、变更记录、供应商评估、事件日志、备份。
容易出错的地方
- 模板化的风险评估：审核员会追问风险是如何识别的，以及为何选择每项控制措施。缺少责任人的通用清单无法通过这一检验。
- 无正当理由的适用性声明排除：排除某项控制措施需要有与您的风险或范围相关的理由。
- 内部审核的独立性：建立 ISMS 的人员不应审核自己的工作。
- 范围过窄而无实际作用：仅覆盖一个办公室的证书无法满足购买您云服务的客户要求。
本站如何提供帮助
ControlMapping 列出了每一项附录 A 控制措施和 ISMS 条款，并给出其在另外十个框架中的对应内容。附录 A 与 NIST CSF 2.0 及 SP 800-53 的关联来自已发布的对照映射；控制措施原文归 ISO 所有，因此我们仅展示标题。如果您已在遵循 SOC 2、NIST 或 NIS2，下表和差距分析将展示哪些内容可以延续。第 4–10 条的管理体系通常是最大的新增工作量。
已有其他框架？
您可能已遵循的每个 ISO 27001 框架，有多少项要求与之对应。打开差距报告可查看逐条要求列表。
| 如果您已有 | ISO 27001 项要求已映射 | 仅弱相关 | 无映射 | |
|---|---|---|---|---|
| 800-53 | 121 / 123 | 1 | 1 | 差距报告 → · 对比 |
| NIS2 | 104 / 123 | 13 | 6 | 差距报告 → · 对比 |
| SOC 2 | 98 / 123 | 21 | 4 | 差距报告 → · 对比 |
| NIST CSF 2.0 | 79 / 123 | 34 | 10 | 差距报告 → · 对比 |
| PCI DSS | 76 / 123 | 37 | 10 | 差距报告 → · 对比 |
| DORA | 70 / 123 | 36 | 17 | 差距报告 → |
| CMMC | 65 / 123 | 41 | 17 | 差距报告 → |
| HIPAA | 58 / 123 | 46 | 19 | 差距报告 → · 对比 |
| CIS v8.1 | 53 / 123 | 38 | 32 | 差距报告 → · 对比 |
| GDPR | 47 / 123 | 47 | 29 | 差距报告 → · 对比 |
| CPS 234 | 35 / 123 | 40 | 48 | 差距报告 → |
| Essential Eight | 23 / 123 | 39 | 61 | 差距报告 → · 对比 |
| Cyber Essentials | 20 / 123 | 19 | 84 | 差距报告 → |
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 计数来源与 差距分析 相同的数据；映射仅表示相关要求，并不证明一项要求满足另一项。
常见问题
ISO 27001 证书的有效期是多久？
三年，前提是通过每年的监督审核。证书到期前需进行再认证审核。
我们是否必须实施全部 93 项附录 A 控制措施？
不必。您通过风险处置选择控制措施，并在适用性声明中说明每项纳入和排除的理由。
ISO 27001 与 SOC 2 哪个更好？
没有绝对的优劣，因为客户的需求不同。ISO 27001 是国际认可的证书；SOC 2 则是美国式的鉴证报告。请参阅ISO 27001 与 SOC 2 对比。
本内容不构成法律或合规建议。在依赖本内容之前，请核对官方原文，并咨询您的审计师、评估机构或监管机构。