无锡的物联网、集成电路设计和软件外包企业密集，很多公司的业务形态是硬件加平台加运维服务。这类企业做信息安全，难点不在技术手段，而在边界。设备在客户现场、平台在云上、开发团队可能在外地，一套系统牵扯多方，ISO27001信息安全管理体系认证标准要求的第一件事就是把边界和资产说清楚。无锡太湖湾科创带和无锡软件园的企业，在投标、客户尽调和集团合规审核中，被要求出示这张证书的越来越多。
01 无锡ISO27001认证标准要解决什么问题
做企业服务十年，我在无锡看过的信息安全管理体系审核里，被问得最多的一句是，这个系统的资产清单在哪里。企业能拿出网络拓扑图，却拿不出带责任人的资产台账。标准的核心是风险管理。识别信息资产，评估威胁与脆弱性，落实控制措施，持续监测改进。条款本身不难，难在边界清楚。
条款结构与控制域
现行版本正文共十章，附录给出控制措施集合。第四章讲组织环境与相关方，第五章讲领导作用，第六章讲风险与机遇的策划，第七章讲支持，第八章讲运行，第九章讲绩效评价，第十章讲改进。附录中的控制域覆盖组织控制、人员控制、物理控制和技术控制四类。
认证范围是审核的第一道关
范围要写清组织单元、场所、系统和服务。物联网企业常见的写法是把平台运维纳入、把硬件生产排除。范围一旦确定，审核人日、现场走访安排都按这个来。
02 无锡物联网企业划边界，五个问题要先答
云上资源谁控制
平台部署在公有云上，服务器、存储、数据库由云服务商提供。企业要说明哪些控制措施由自己实施，哪些依赖服务商，并保留服务商的安全资质和协议。全部推给云服务商，审核时会被追问责任划分。
设备和平台是不是同一个体系
硬件设备出厂后由客户使用，平台侧数据由企业运维。两者风险不同，管理措施也不同。建议在范围内明确设备端与平台端各自的控制边界，并说明接口处的安全要求。
外包开发的代码归谁管
外包团队交付代码后，漏洞修复、版本管理、发布权限在企业侧。外包人员的账号、代码访问权限、离场交接，都要纳入体系。合同里没有安全条款，是常见短板。
数据分类分几级才够
至少区分公开、内部、敏感、核心几类，并对应不同的访问和加密要求。只分公开和保密两级，实际操作中往往无法落地。
测试环境和生产环境能不能混用
不能。测试环境使用生产数据、测试账号能访问生产库，是审核中的高频问题。
| 边界要素 | 要写清楚什么 | 常见问题 |
| 组织边界 | 哪些法人主体、哪些办公场所纳入 | 分公司在范围外但共用同一套系统 |
| 系统边界 | 平台、云资源、第三方接口的归属 | 云上资源归谁控制说不清 |
| 数据边界 | 客户数据、设备数据、运维数据的分类 | 数据分类只分了公开和保密两级 |
| 人员边界 | 正式员工、外包、远程运维人员 | 外包运维账号未纳入管理 |
| 物理边界 | 机房、办公区、生产测试区 | 测试环境与生产环境混用 |
条款与控制措施以现行国家标准文本为准。网络安全等级保护的相关要求由公安部门主管，与ISO27001是两套体系，企业常需同时满足。
03 无锡企业申请ISO27001认证的条件
企业要有明确的认证范围和组织架构，信息安全方针经最高管理者批准，完成风险评估与风险处置，体系运行满三个月并做过一次内审和管理评审。适用法律法规要识别到位，包括网络安全法、数据安全法、个人信息保护法以及行业监管要求。涉及个人信息处理的，要有相应的告知同意和授权记录。
04 无锡ISO27001认证流程
第一步，确定范围。明确组织单元、场所、系统，画一张边界图。第二步，做风险评估。建立资产清单，识别威胁与脆弱性，形成风险处置计划。第三步，编写体系文件。方针、适用性声明、程序文件、记录表单。第四步，体系运行与内审。至少运行三个月，完成内审和管理评审。第五步，认证审核。第一阶段看策划，第二阶段看运行与证据。第六步，整改关闭与发证。不符合项关闭后颁发证书。
05 无锡企业常见的四类不符合项
第一类，资产清单不全。上线系统没有登记，责任人一栏空着。第二类，访问控制执行不到位。离职人员账号未及时停用，特权账号多人共用。第三类，供应商安全要求缺失。云服务和外包合同没有安全条款，也没有定期评价记录。第四类，业务连续性只做备份不做恢复。备份成功率高，但从未验证恢复时间。
06 证书之后的监督审核
证书三年有效，每年监督审核，第三年再认证。监督审核重点看风险处置进展、安全事件记录和上一年不符合项关闭情况。企业上新系统、迁云、并购团队、承接涉及个人信息的新业务，都属于重大变更，要重新评估风险并更新适用性声明。变更不更新，监督审核时容易翻车。
| 控制域 | 审核关注点 | 证据形式 |
| 资产清单 | 软硬件、数据、服务是否全部登记并定责 | 资产台账与实际上线系统对不上 |
| 访问控制 | 账号权限、离岗回收、特权账号 | 离职人员账号长期未停用 |
| 供应链安全 | 云服务商、外包开发的安全要求 | 合同无安全条款 |
| 事件管理 | 安全事件分级、响应、复盘 | 只有记录没有复盘 |
| 业务连续性 | 备份策略与恢复演练 | 备份有做，恢复没测 |
无锡ISO27001信息安全管理体系认证标准常见问题
无锡企业办ISO27001，证书有效期是几年？
三年。有效期内每年一次监督审核，第三年再认证。监督审核不通过可能被暂停证书。
只做软件不做硬件的团队，范围怎么写比较合适？
按实际控制的组织和系统写。软件开发、测试、交付、运维纳入，客户现场的设备安装若不归企业控制，可以不纳入，但要说明接口处的责任划分。
等保测评和ISO27001需要都做吗？
两者目的和主管方不同。等保是法定要求，按系统定级备案测评；ISO27001是管理体系认证。是否需要都做，看行业监管和客户要求，很多企业是两套并行。
风险评估一定要用专业工具吗？
不强制。可以用表格化方法，关键是资产、威胁、脆弱性、影响、可能性五个要素齐全，结论能支撑处置措施，并且每年复评。
参考依据
ISO/IEC 27001信息安全管理体系标准现行版本及我国等同采用的国家标准；国家认证认可监督管理委员会公布的认证机构批准信息；《网络安全法》《数据安全法》《个人信息保护法》及网络安全等级保护相关管理规定；认证流程、人日与费用以所选认证机构的合同和当期规定为准。
