北京软件、数据服务、金融科技和互联网企业办理ISO/IEC 27001认证时，第一步不是买模板，而是把信息资产、业务流程、系统边界和责任人员划清。
01 北京ISO/IEC 27001认证办理条件：信息资产和权限记录要能追溯
北京企业先划定信息资产边界
软件、云服务、数据处理和金融科技企业，应先列出系统、服务器、代码仓库、客户数据、办公终端、供应商和关键人员，画出数据流与接口边界，再确定认证范围。第三方托管系统不能直接写成企业自有资产。
人员权限和安全记录怎么准备
重点包括账号开通与回收、权限审批、离职交接、备份恢复、漏洞处理、变更发布、供应商评价、事件响应、培训和业务连续性演练。开发企业还要把代码审查、测试、上线审批和生产权限分开留痕。
北京ISO 27001与等保如何区分
ISO/IEC 27001是管理体系认证，等级保护是网络安全等级保护制度下的相关工作，二者不能相互替代。客户若同时要求等保、数据安全或出境合规，企业应把不同事项分别列入项目计划。
认证机构要核验相应认证资质和业务范围，证书状态应通过国家认证认可信息公共服务平台等正规渠道查询。
02 北京ISO 27001认证材料，先做资产、权限和事件三张清单
信息资产清单要写到责任人
服务器、云资源、办公终端、代码仓库、客户数据、接口和纸质资料都应明确资产责任人、使用场景、敏感程度和保护措施。外包云平台要说明服务边界、供应商责任和企业可以控制的部分。
权限变更和安全事件要留痕
账号开通、权限审批、离职回收、备份恢复、漏洞修复、变更发布和事件响应都要有记录。开发团队应把开发、测试和生产权限分开，并保留代码审查、发布审批和回滚记录。
03 北京ISO 27001与等保、数据合规如何并行
先分事项再排计划
ISO/IEC 27001是管理体系认证，等保测评、数据安全和个人信息保护工作有各自的制度与证据。企业可以统一做资产盘点，但不能用ISO证书直接替代法定安全义务或客户要求的其他报告。
04 ISO认证办理流程，先做差距分析再安排审核
先确认组织范围和审核样本
企业应明确认证涉及哪些公司、部门、场所、产品或服务，以及哪些过程由外包方承担。范围确定后，再按真实订单、项目、生产批次或服务记录选取审核样本，不能用没有业务痕迹的模板文件替代运行证据。
文件修改要和岗位执行同步
程序文件、作业指导书、表单和记录应明确责任岗位、输入、输出、异常处理和关闭方式。文件改完后要留出运行周期，让员工实际使用并形成记录，再安排内审和管理评审。
审核发现问题后如何闭环
对不符合项要说明事实、原因、纠正措施、责任人、完成日期和验证结果。只写“加强培训”通常不足以证明问题已经解决，还要保留培训内容、考核结果和后续抽查证据。
05 ISO证书拿到后，监督审核不能停
每年都要保持体系运行
认证不是一次性买证。企业应按照认证机构的监督审核、复评和转版安排，持续保留过程记录，业务范围、地址、组织结构和主要产品变化时及时沟通。
06 ISO认证审核前的现场准备，不能只整理文件夹
抽取一批真实业务做穿行检查
从一份订单、一个项目或一批产品开始，沿着合同评审、采购、生产或交付、检验、投诉和改进一路追踪，检查每个环节是否找到责任人和记录。穿行检查比单独检查文件更容易发现记录断点。
把异常记录也纳入审核样本
退货、投诉、设备故障、信息安全事件、职业伤害、能源异常或供应商不合格都可以作为改进证据。企业不应为了“看起来没有问题”而删除异常记录，而要说明如何识别、处置、复盘和防止再次发生。
认证范围发生变化要及时沟通
新增场所、产品、生产线、服务区域、外包过程或组织主体时，应评估是否影响认证范围和审核计划。不要等到监督审核临近才临时补材料，容易出现范围描述与现场实际不一致。
选择机构和安排审核要留书面记录
企业应保存认证机构资质范围、报价与审核人日、合同、审核计划、不符合项及证书信息，转版或换证时以认证机构正式通知为准，不要只依据中介口头承诺。
提交前的最后一次自查
正式提交前，建议由企业负责人、业务人员和材料整理人员共同复核一次：目标事项是否选对，主体、地址和业务范围是否一致，人员与业绩是否具备真实关系，图片和附件是否清晰，线上表单中的联系人和联系方式是否准确。发现疑问时先补充事实和依据，再提交申请，不要用空泛承诺替代实际材料。
| 审核对象 | 应准备的证据 | 核对重点 |
| 认证范围 | 组织、场所、产品或服务 | 范围不能脱离实际业务 |
| 运行过程 | 目标、采购、交付、投诉或风险记录 | 记录要能追溯到业务样本 |
| 改进闭环 | 内审、管理评审、纠正措施 | 不能只留会议签到 |
| 证书管理 | 监督、复评和转版计划 | 以认证机构正式安排为准 |
常见问题
ISO 27001等于等保测评吗？
不等于。ISO/IEC 27001是管理体系认证，等级保护是网络安全等级保护制度下的相关工作，两者监管依据和适用场景不同。
北京企业可以把所有客户数据都放进认证范围吗？
应根据企业实际控制能力、合同边界和业务流程决定。未经授权的客户系统和第三方托管环境不能简单写成企业自有资产。
小型软件公司也能做ISO 27001吗？
可以考虑，但要看实际业务、信息资产和管理能力。范围越清楚，越有利于建立可执行的体系。
提交前可以先查看ISO认证体系指南，再结合ISO9001认证办理指南核对办理边界，涉及相邻业务时再参考建筑资质办理指南。
推荐阅读
· 建筑资质办理指南
参考依据
ISO官网及认证认可公开信息；认证机构现行认证规则
