服务

ISO/IEC 27001 认证

当人们说“我们需要一套真正的信息安全管理体系”时，所指的通常就是 ISO 27001。它不会给您一份固定的技术控制措施清单，而是要求您建立一套管理体系：了解自身风险，有意识地决定如何处置这些风险，从附录 A（或其他来源）中选择真正能应对这些风险的控制措施，然后把整套体系作为持续的监控、内部审核和改进循环来运行，而不是一个有终点日期的项目。

真正的工作在哪里

ISO 27001 中让人栽跟头的部分，通常不是控制措施本身，而是风险评估以及应当由它推导出来的适用性声明（SoA）。我见过不少 SoA 是照搬模板填写的，把大多数控制措施标为“已实施”，却没有人真正梳理从某项具体风险到某项具体控制措施再到具体证据的逻辑。审核员会立刻发现这个缺口，更重要的是，这意味着 ISMS 并没有真正在管理您的实际风险。

我如何开展这项工作

我从反映您实际环境的风险评估开始，包括您的数据、架构和威胁态势，而不是一份通用的行业清单。在此基础上，适用性声明成为一份真正的文件：每一项控制措施的决定都对应到具体风险，被排除的内容也有明确理由。然后我们建立管理体系本身：描述您实际做法的政策、明确的角色和职责、内部审核方案，以及真正审视 ISMS 是否有效的管理评审，而不是走过场的会议。

如果您在争取认证，我会帮助您为外部审核的两个阶段做好准备：文件审查，以及审核员核查现实是否与书面材料相符的运行审核。如果您建立 ISMS 本身是出于自身需要而不是为了证书，我们同样以相同的严谨标准来建设。

适合哪些组织

适合需要 ISO 27001 认证来赢得企业客户或国际业务的公司，需要将已超出临时性政策范围的安全体系正式化的组织，以及曾经套用模板尝试过、知道效果并不持久的团队。

如果您要从零开始建立 ISMS，或者想修复一套难以维持的体系，我们谈谈。