ISO 27001-2022 认证审核迎检资料清单 中文版 含一阶段二阶段审核要点

ISO27001:2022认证审核迎检资料清单中文版含一阶段二阶段审核要点文档版本：V1.0适配标准：ISO/IEC27001:2022、GB/T22080-2022、ISO/IEC27002:2022适用场景：ISO27001新版初次认证、2013旧版转2022新版、监督审核、再认证审核、第三方外审迎检文档价值：精准匹配认证机构一阶段、二阶段审核逻辑，梳理全套必备迎检资料、高频核查要点、常见不符合项、迎检注意事项，解决企业迎检资料杂乱、重点模糊、新版条款漏备、现场答辩无依据等痛点，实现一次性高效通过审核。第一章审核整体概述（新版2022核心规则）1.1审核阶段划分ISO27001:2022认证审核分为第一阶段（文件审核+准备度评估）、第二阶段（现场落地审核+有效性验证）两个核心阶段，两阶段间隔常规为4-8周，必须一阶段审核通过、问题闭环后，方可启动二阶段现场审核。相较于2013旧版，2022新版审核重点新增：云服务安全、威胁情报、数据脱敏、隐私保护、AI与自动化安全、供应链全周期管控核查，所有迎检资料必须覆盖新版93项控制措施及高阶管理条款。1.2核心审核逻辑审核核心原则：查文件、查记录、查现场、查人员、查闭环，验证体系「文件合规、落地有效、持续改进、风险可控」，杜绝仅有制度无执行、仅有记录无落地、旧版资料未迭代新版要求的问题。1.3新版审核红线要求（一票否决项）ISMS体系范围界定模糊、与实际业务不符；无有效风险评估、风险处置流程及SoA适用性声明；未开展内部审核、管理评审核心工作；新版新增强制控制条款完全缺失（云安全、威胁情报、隐私保护等）；存在真实数据泄露、安全事故、合规处罚未处置；关键记录造假、缺失、无法溯源。第二章第一阶段审核：核心要点+全套迎检资料清单2.1一阶段审核定位一阶段以文件合规性审查、体系搭建完整性、二阶段准备度评估为核心，不核查深度落地细节，重点判定企业ISMS体系是否符合ISO27001:2022标准框架要求，是否具备二阶段现场审核条件，主要为远程资料审核或简易现场文件核查。2.2一阶段核心审核要点（审核员重点核查）2.2.1高阶体系条款（4-10章）核查要点条款4组织环境：已识别内外部环境、相关方及合规要求，适配企业业务、云服务、数字化场景；条款5领导作用：最高管理者签发信息安全方针，明确岗位职责、管理者代表任命、全员安全承诺；条款6风险与机遇：建立新版适配的风险评估方法论，完成全覆盖风险评估、风险处置，无重大风险遗漏；条款7资源支持：明确人力、技术、预算、培训资源配置，满足体系运行要求；条款8运行管控：建立全流程运行管控机制，覆盖资产、数据、网络、人员、供应商；条款9监视测量：已完成年度内部审核、合规性评价，流程规范、记录完整；条款10持续改进：建立问题整改、迭代优化机制，无体系运行停滞问题。2.2.2新版专项核查要点重点核查2022新版新增条款文件完整性：威胁情报管理、云服务安全管控、数据脱敏、隐私保护、第三方供应链安全文件是否齐全，是否完成旧版文件迭代更新。2.3一阶段必备迎检资料清单（全覆盖、无遗漏）2.3.1体系顶层文件（核心必查）ISO27001:2022信息安全管理手册（新版修订版，适配新增条款）公司信息安全方针、目标及分解实施方案（最高管理者审批签发）ISMS体系适用范围声明文件（明确业务、资产、云服务、外协场景，对外公示版）组织架构、信息安全岗位职责说明书、管理者代表任命文件2.3.2风险与合规核心文件（重中之重）信息安全风险评估管理制度、风险评估方法论文件（新版适配）最新版全覆盖风险评估报告（含数据安全、云安全、隐私保护风险）风险处置计划、风险处置台账、残余风险评审记录《适用性声明SoA》（2022新版93项控制措施逐条编制，精准勾选适用/不适用及理由）法律法规及合规要求清单、年度合规性评价程序、合规性评价报告2.3.3体系运行管控文件全套程序文件（文件控制、记录控制、内部审核、管理评审、纠正预防措施等）2022新版新增专项制度：威胁情报管理、云服务安全、数据脱敏、隐私保护管理制度内部审核方案、内审计划、内审检查表、内审报告、问题整改闭环资料管理评审计划、评审输入资料、管理评审报告、持续改进计划2.3.4基础佐证资料体系文件台账、版本管控记录、文件发放/修订/作废记录年度安全培训计划、全员培训记录、考核台账信息安全目标考核、落地验证记录2.4一阶段常见不符合项（提前规避）SoA文件沿用2013旧版，未更新93项新版控制措施，新增条款缺失；风险评估维度单一，未覆盖云服务、隐私保护、远程办公等新场景；内审、管评流于形式，无实质性问题、无改进措施、无闭环记录；体系范围描述笼统，未结合企业实际业务、云资产、外协服务场景；新版专项制度空白，未适配2022标准新增管控要求。第三章第二阶段审核：核心要点+全套迎检资料清单3.1二阶段审核定位二阶段为现场落地有效性审核，审核员深入各部门、机房、办公现场，核查制度落地、记录留存、技术防护、人员实操、应急能力，验证体系真实落地、有效运行，是决定认证最终通过的核心阶段。3.2二阶段核心审核模块及核查要点3.2.1资产与访问安全管控（高频核查）审核要点：信息资产全覆盖盘点、分类分级、标签管理；资产借阅、变更、报废全流程管控；账号权限最小化、权限生命周期管理、离岗权限注销；超级账号管控、权限定期审计。3.2.2人员与办公安全管控审核要点：入职安全培训、保密协议签订、岗位安全交底；在职人员定期安全培训、考核；离职人员权限回收、资产归还、资料清空；远程办公安全规范落地。3.2.3物理与环境安全审核要点：机房门禁、监控、防盗、防火、防潮、温湿度管控；机房出入登记、访客管理；设备物理防护、布线规范、备用电源运维。3.2.4网络与设备安全审核要点：网络分区隔离、防火墙策略、漏洞扫描、病毒防护；服务器、终端设备安全加固；日志审计留存、异常访问监测；云资源配置合规、云权限管控。3.2.5数据安全与隐私保护（新版重点）审核要点：数据分类分级落地；敏感数据、个人信息全生命周期管控；数据脱敏、数据备份、数据销毁；数据导出、共享、传输审批溯源；贴合个保法、数安法合规要求。3.2.6威胁情报与应急管理（新版重点）审核要点：常态化威胁情报收集、研判、处置记录；应急预案齐全、定期应急演练、演练复盘整改；安全事件监测、上报、处置闭环。3.2.7供应商与供应链安全审核要点：供应商准入安全评估、安全协议签订；供应商过程管控、年度复评；外协人员权限管控、离场安全审查；供应链风险排查处置。3.3二阶段必备迎检资料清单（落地记录类）3.3.1资产与权限管理资料全量信息资产清单（硬件、软件、数据、云资源、文档资产）资产分类分级表、资产标签台账、资产变更/报废记录人员账号权限清单、权限申请/变更/注销审批记录季度权限审计报告、超级账号使用台账3.3.2人员安全管理资料全员保密协议、岗位安全责任书入职/在职/离职安全培训记录、考核成绩单离职人员资产归还、权限注销、资料清空记录远程办公安全管控台账、操作记录3.3.3物理与机房安全资料机房出入登记台账、访客登记记录机房巡检记录、温湿度监测记录、设备运维台账消防、防雷、备用电源巡检及维保记录办公区域安全自查记录3.3.4网络、设备与云安全资料（新版重点）网络设备巡检、策略变更、漏洞扫描、病毒查杀记录系统日志、操作日志、安全审计留存记录云服务供应商资质、云资源台账、云安全巡检记录云数据加密、云权限管控、云服务退出处置记录3.3.5数据安全与隐私保护资料（新版核心）数据分类分级清单、敏感数据、个人信息台账数据脱敏操作记录、数据备份与恢复测试记录数据导出、共享、传输、销毁审批及溯源记录个人信息收集、使用、删除、注销全流程处置记录3.3.6威胁情报与应急管理资料（新版核心）月度威胁情报收集、研判、预警、处置台账各类安全应急预案（网络攻击、数据泄露、机房故障、病毒入侵）年度应急演练计划、演练方案、演练照片、复盘整改报告安全事件处置、上报、闭环台账3.3.7供应商安全管理资料供应商准入安全评估表、安全保密协议供应商年度安全复评记录、过程管控台账外协人员权限管控、离场安全审查记录3.3.8整改与持续改进资料一阶段审核问题整改闭环资料日常安全自查、问题整改台账安全目标落地验证、体系持续改进记录3.4二阶段现场人员访谈要点（高频提问）3.4.1管理层访谈重点询问：信息安全方针认知、体系建设目的、资源配置、风险管控思路、持续改进规划、新版标准落地要求。3.4.2信息安全负责人访谈重点询问：风险评估流程、合规管理机制、新版新增条款落地细节、应急处置流程、内审管评开展情况。3.4.3部门员工访谈重点询问：岗位安全职责、日常安全操作规范、数据保密要求、密码安全、远程办公规范、异常问题上报流程。3.5二阶段高频不符合项（新版重点避雷）新版云服务安全、威胁情报、数据脱敏制度仅有文件无落地记录；数据脱敏、隐私保护执行不到位，敏感数据明文存储、无操作记录；权限管控不闭环，存在冗余账号、过期权限、超级账号无审计；应急演练流于形式，无复盘、无整改、无真实场景模拟；供应商安全管控薄弱，无复评记录、无保密协议；日志留存时间不足、审计不全面，无法溯源安全操作；基层员工安全意识薄弱，不熟悉岗位安全合规要求。第四章一、二阶段审核核心差异对比表对比维度第一阶段审核第二阶段审核审核核心文件合规、体系搭建完整性、准备度评估现场落地、执行有效性、风险闭环、实操验证审核方式资料审核为主，少量现场核查全部门现场核查、人员访谈、实操查验、记录核验审核重点顶层文件、风险合规、内审管评、新版制度完整性资产、数据、人员、机房、云安全、应急、供应商落地执行问题影响重大缺失直接无法进入二阶段严重不符合项直接认证不通过，需重新审核整改要求所有问题必须闭环后方可进入二阶段轻微问题限期整改，严重问题需体系重构整改第五章新版2022专项迎检强化要点（区别2013旧版）本章节为2022新版独有审核重点，是新旧版转版审核、初次认证审核的核心加分项与必查项，企业需重点备战：威胁情报管理：必须具备常态化情报收集渠道、月度研判记录、风险预警与处置闭环，无资料直接判定重大不符合；云服务安全管控：所有在用云服务必须有台账、准入评估、权限管控、加密防护、月度巡检、退出销毁记录；数据脱敏落地：测试环境、数据展示、对外共享、数据导出场景必须落实脱敏，留存脱敏操作记录；隐私保护全闭环：严格匹配个保法要求，个人信息全生命周期可溯源、可删除、可注销；供应链全周期安全：从准入、过程、年度复评、离场审查实现全链条管控，杜绝外协安全盲区。第六章迎检通用注意事项与闭环要求6.1资料整理规范所有文件、记录统一版本、统一归档，新版文件全部替换旧版资料，无新旧混用情况；所有记录真实、完整、可溯源，日期、签字、流程闭环，无空白、无造假、无逻辑冲突；按审核模块分类归档，文件夹命名清晰，方便审核员快速调阅。6.2现场迎检规范机房、办公区域整洁规范，安全标识齐全，设备运维状态正常；各部门指定迎检对接人，熟悉本部门安全职责与合规流程；员工应答真实客观，贴合制度与实操，不随意夸大、不盲目作答。6.3问题整改规范审核发现问题第一时间分类梳理，明确整改责任人、时限、佐证资料；整改需做到「问题描述清晰、原因分析透彻、整改措施落地、佐证资料