ISO27001(193/3515-9001)信息安全认证的流程

1、差距分析：对企业的人员、环境、技术和管理进行评估，明确体系实施的目标和范围。

2、培训导入：

进行信息安全基础知识培训和体系建立指导，明确各岗位的信息安全管理职责。

3、体系建立：

指导编写ISO 27001程序文件、管理手册，制定合规的管理规程和控制措施。

4、推广实施：

在企业内部推进体系运行，识别信息安全风险资产，开展内部评审和管理评审。

5、现场审核：

向第三方认证机构申请信息安全管理体系认证，完成现场审核整改。

6、改进维持：

规划体系年度审核计划和方案，按照PDCA原则，继续完善和改进信息安全管理体系。

7、获得认证：

第二次审核信息安全管理系统符合ISO 27001标准的要求，则颁发认证。

ISO27001信息安全认证的费用

ISO27001 信息安全认证费用无统一定价，主要由直接认证成本、咨询辅导成本、年度维护成本三大部分构成，并受企业规模、行业复杂度、认证机构选择等核心因素影响。一、直接认证费用(认证机构收取)

申请与注册费：包含认证申请受理、文件审定、证书制作与注册的固定行政费用。

审核费：核心成本，按审核人日计算。人日数取决于员工规模、业务复杂度、多场所数量及信息系统数量。

年金(证书管理费)：证书有效期内(通常 3 年)每年缴纳，用于维护证书有效性。

差旅费：审核员现场审核的交通、食宿费用，一般实报实销。

二、可选咨询辅导费用

体系建立咨询费：聘请咨询公司协助搭建 ISO27001 体系、编写文件、进行差距分析与整改指导。

人员培训费：包括全员信息安全意识培训、内部审核员资格培训等。

三、年度维护与隐性成本

监督审核费：证书有效期内每年需进行 1 次监督审核，费用约为初次审核的一定比例。

再认证费：3 年证书到期后，需重新进行quanmian审核换证。

隐性成本：为满足标准要求，对 IT 安全设施(如防火墙、加密系统)、管理流程进行升级改造的投入。

四、核心影响因素

企业规模：员工人数是决定审核人日数的zui关键指标，规模越大成本越高。

行业与风险：金融、医疗、互联网等高风险、强监管行业审核更严格，成本更高。

机构选择：guoji知名认证机构费用普遍高于国内机构。

现有基础：企业信息安全管理基础越薄弱，整改与建设工作量越大，间接成本越高。