南宁面向东盟的数字经济和跨境数据服务兴起，ISO27001信息安全管理体系成为软件和外包企业的准入凭证。做了十年企业服务，范围界定和资产清单是这套体系的两道关口，本文逐项拆解。
01 第一步不是写文件，是划范围
ISO27001认证最容易出错的地方就是范围界定。企业常见做法是申请时写「，审核时发现某个部门根本没按体系运行，直接开具不符合项。
正确做法是从业务出发划范围。判断标准是：这个范围内的业务和信息系统是否在企业的实际控制之下，是否能全部纳入体系管理。范围太大会失控，范围太小则覆盖不到客户要求。
行业实践中的常见范围写法是按业务系统划分，比如」、「、」。划分完成后，要有支撑材料证明范围内的所有环节都被纳入了体系。
02 信息资产清单是体系的底座
没有完整的资产清单，就没法做风险评估。资产清单要覆盖四类实体和五类无形资产。
实体资产
包括硬件（服务器、存储、网络设备、终端设备）、软件（系统程序和应用软件）、人员（关键岗位）和物理环境（机房、办公场所、介质存储位置）。
无形资产
包括信息（业务数据、日志、文档）、软件资产相关的服务（运维、外包服务）、其他无形资产（商业情报、供应商信息）。
实务中资产清单要包含资产标识、责任人、物理或逻辑位置、安全级别和保护等级。台账是后续所有控制措施的基础，务必做到账物一致。
03 风险评估方法
标准要求进行信息风险评估。常用的方法有两种：一是基于资产的价值和脆弱性评估风险大小；二是基于威胁、脆弱性和影响进行风险识别。实务中常见的组合方式是先识别资产，再识别威胁源与脆弱点，最后评估影响程度并确定风险等级。
风险评估要能回答三个问题：最坏情况可能是什么、现有控制是否足够、如果控制失效后果能否承受。评估结果直接决定后续控制措施的优先级和投入方向。
04 主要控制措施类别
ISO27001的控制措施分为十一个类别。实际落地时，企业至少要建立以下内容： policies政策与制度体系；organizational信息安全管理组织与职责；human resources人员管理（背景调查、意识培训、离职管理）；asset management资产管理；access control访问控制；cryptography密码技术；physical security物理安全；operations运行安全（漏洞、恶意代码、日志、备份、变更）；communications and network security通信与网络安全；information system acquisition and development系统开发与维护；information security incident management安全事件管理；business continuity业务连续性；compliance合规；supplier relations供应商关系；privacy information privacy及个人信息保护；compliance with legal requirements法律合规。
每个类别要落到具体制度、流程和记录上，而不是停留在目录层面。
05 访问控制是最常被审核的部分
访问控制的原则是最小权限、职责分离、按需授予、及时回收。审核中重点看三件事：账号和权限的审批记录是否留痕；权限定期复核是否有执行痕迹；离职和转岗人员权限是否及时回收。
与之相关的身份识别和日志审计要求较高，重要系统的操作日志要留存并定期审阅。日志保存期限和审计频率要符合企业自身的合规要求。
06 个人信息保护单独说明
标准在2013版修订后强化了隐私保护相关要求。中国企业在实施时需要与国内的个人信息保护法规要求衔接，建立个人信息清单、处理规则、授权同意机制、跨境传输的合规评估流程。这部分如果只按标准模板做而不结合本地法规要求，通常会在审核和管理评审中被追问。
07 实施流程与审核关注点
现状调研
盘点资产、识别业务和系统、评估现有安全管理做法，形成差距清单。
体系设计
确定范围、定义信息安全管理方针和组织、建立风险评估方法。
文件与记录
策略层面文件较少，主要是各类管理制度和操作规程；记录层面要保留资产清单、风险评估报告、访问权限矩阵、变更记录、培训记录、内审报告、事件处理记录。
审核关注点
资产清单完整性、范围界定合理性、风险评估过程完整性、访问控制的审批与复核证据、供应商安全管理、信息安全事件处置流程、连续性计划的演练记录。
08 认证办理前的最后核对
范围是否有支撑文件、资产清单是否账物一致、风险评估是否覆盖所有范围内系统、访问权限是否有审批和复核记录、个人信息保护是否结合本地法规、应急与连续性方案是否演练过、内审和管理评审是否真实开展。八项过关再提交。
| 控制类别 | 落地要点 | 关键记录 | 常见问题 |
| 资产管理 | 实体与无形资产清单，账物一致 | 资产台账、责任人清单 | 清单不完整、不更新 |
| 访问控制 | 最小权限、职责分离、定期复核、离职回收 | 权限审批单、复核记录 | 复核无执行痕迹 |
| 运行安全 | 漏洞管理、恶意代码防护、日志、备份、变更 | 漏洞台账、日志审阅记录 | 日志不审阅 |
| 密码技术 | 加密算法与密钥管理 | 密钥管理制度 | 无密钥管理规范 |
| 事件管理 | 事件分级、响应、取证、改进 | 事件报告、演练记录 | 事件未有头有尾 |
| 业务连续性 | 影响分析、连续性计划与演练 | 演练报告、恢复记录 | 无演练 |
| 供应商管理 | 供应商安全评估与协议 | 评估报告、安全条款 | 外包方无管控 |
| 隐私保护 | 个人信息清单、规则、授权、跨境评估 | 处理规则、授权记录 | 与本地法规脱节 |
| 人员管理 | 背景调查、意识培训、离职交接 | 培训记录、离职确认单 | 离职权限未回收 |
常见问题
ISO27001认证范围怎么划比较合适？
范围应覆盖你要证明能力受控的业务和系统，标准是「。常见做法是按业务系统或服务线划分，比如」或「。范围过大容易失控，过小则无法满足客户审核要求。
没有资产清单能不能做ISO27001？
不建议。资产清单是风险评估的基础，没有完整清单，风险评估就没有对象，审核中也会被判定缺失。建议先把资产梳理清楚，包括实体资产和无形资产，并明确责任人、位置和保护等级。
ISO27001和等保测评是一回事吗？
不是。等保是国家层面的网络安全等级保护制度，有强制性的定级备案和测评要求；ISO27001是自愿性采用的管理体系标准，强调过程方法和持续改进。两者在技术控制上有重叠，但目的、强制程度和实施方式不同，企业可能需要同时开展。
信息安全与其他体系的衔接见ISO认证体系指南；涉及增值电信等业务资质时另见资质百科栏目。
推荐阅读
参考依据
ISO/IEC 27001 信息安全管理体系要求（ISO/IEC 27002 信息安全管理实践指南）；认证机构要求见 ISO/IEC 17021-1；个人信息保护相关要求以中国现行法律法规为准。
