1. 企业资质与合法性
•
中国企业需持有工商行政管理部门颁发的《企业法人营业执照》《生产许可证》或等效文件；外国企业需提供相关机构的登记注册证明。
•
企业需处于合法经营状态，且未被列入严重违法失信名单。
2. 体系建立与运行要求
•
信息安全管理体系需按ISO/IEC 27001标准建立，并有效运行3个月以上。
•
体系需覆盖组织内所有关键业务领域，包括硬件、软件、数据、纸质文件等信息资产。
•
需明确信息安全方针、目标，并制定风险评估、控制措施等程序文件。
3. 风险评估与控制措施
•
需对信息资产进行全面风险评估，识别潜在威胁（如网络攻击、内部泄密）并评估风险等级。
•
根据评估结果制定风险处置计划，包括风险规避、转移、降低或接受（需管理层书面批准）。
•
实施技术（如防火墙、加密）和管理（如访问控制、安全培训）双重控制措施，确保风险降至可接受水平。
4. 内部审核与管理评审
•
至少完成一次内部审核，检查体系符合性、有效性，并记录不符合项及整改情况。
•
最高管理者需主持管理评审，评估体系绩效，决定是否调整战略目标或控制措施。
•
内部审核和管理评审需形成书面报告，作为认证审核的重要依据。
5. 合规性与法律要求
•
体系需满足《网络安全法》《数据安全法》及GDPR等国内外法规要求，覆盖个人信息保护、跨境数据传输等场景。
•
若涉及数据处理，需完成数据出境安全评估（如适用），并保留第三方供应商的数据处理协议。
6. 团队配置与项目经验
•
需配备5人以上团队，涵盖信息安全管理人员、技术人员及审计人员，职责分工明确。
•
需拥有2个以上与认证范围相关的成熟项目，体现体系落地能力。
7. 持续改进与监督审核
•
获证后需每季度进行安全KPI考核（如漏洞修复率≥95%），每年接受认证机构监督审核。
•
当发生重大业务变更（如上线新业务系统）时，需重新评估风险并调整体系。
