安全合规/ISO--8--ISO 27001实施历程

一、综述

本着先做好了再拿证这一思想，因此在正式审计开展前，需要长期推进一系列合规事项以完善公司的合规符合度，同时在正式审计开展前一段时间需要准备很多东西来迎接正式审计。本文记录ISO 27001在正式审计前的开展过程及注意事项。由于本次实施请了咨询机构，因此将咨询机构的部分也将一并写入。

长期推进的合规工作就不多说了，这在我的其他博客中也能看出一二，在这里我们详细说说迎接正式审计前需要做的事情。

流程具体是：遴选咨询方、签订咨询合同、首付款、确定认证范围、咨询方远程实施、咨询方现场实施、审计前准备工作收尾、付尾款（尾款一般是正式审计通过后再付的）。

一、遴选咨询方

按照公司廉政要求，要至少联系三家咨询机构并选择性价比最高的。实际上先后联系了四家咨询机构，要求其提供报价单，根据报价单确定最终咨询方。

二、签订咨询合同

选定咨询机构后，安全部门负责商定合同条约，合同文案则由双方法务审计，合同没有问题后，即可签订合同。

三、首付款

签订完合同之后，根据合同约定，进行首付款打款。

四、确定认证范围

首先是给咨询方详细介绍公司的业务情况、认证背景等，例如为什么要做ISO 27001认证？做它的目的是什么？谁让做的？是就为了有个证还是为了要落地？……等等之类，以让咨询方心里有底。

确定认证范围可以听从咨询方的建议，这的认证范围主要有两块，核心的一块要将公司哪些业务纳入认证范围，从而确定要符合ISO 27001的哪些条款，因为并不是所有ISO 27001条款都要符合，不同范围的业务会出现不同的不适用条款，这些不适用条款就不用管了。

其次是确定认证范围内的人数，不同的人数在实施时价格是不一样的，人越少认证费越便宜。这里要避免进入一个误区，就是将公司部门割裂开来，比如只认证xx部和xx部，yy部和yy部不认证。公司割裂开后，由于员工都是在一块的，会存在物理上的管控问题，比较难搞。正确的做法应该是所有相关部门都纳入范围，再按总比例减扣人数，这样既不存在割裂问题，又能减少认证人数，降低认证成本。

最后，还需要确定认证主体是哪个，一般情况下，和员工签劳动合同的公司主体是同一个主体就可以了。

五、咨询方远程实施

咨询方远程实施主要就是做文档，做文档这个事情，个人感觉是属于比较低级的，原因如下：

1、文档是有模板的，只把文档中对应的地方改过来即可。
2、虽然文档和文档之间很多地方存在关联，但对于有经验的人来说也是比较小儿科（博主现在已经摸清这些文档间的关联了）。

做文档主要是修改文档模板中对应的地方，但是咨询方并不知道这公司的实际情况，因此需要我们提供一些材料。这些材料包括：

01-资质证照
02-合格供应商名录
03-可移动介质使用登记表
04-信息化7点说明（包括机房、服务器、网络、网站、信息系统、拓扑图、物理平面图等详细信息）
05-应用系统一览表
06-资产清单
07-办公楼租凭合同（如果是租的需要提供）
08-软著和专利
09-现行公司管理制度
10-网络设备安全配置表
11-员工花名册（这个非常有讲究，不能乱给）
12-相关合同

准备完成之后，提交给咨询机构，由咨询机构来确认对应材料，并开始编写文档。

六、咨询方现场实施

现场咨询是一个可选项，可以完全不现场咨询，如果要进行现场咨询，要提前商定好现场咨询的周期。

这里首先要做的一个事情是咨询方人员的勤务安排，根据行业惯例和合同约定，咨询及审计产生的差旅费用由甲方报销。勤务包括：行程预定、酒店预定、费用预定、会议室预定及布置等。这些都要留有发票，以便于最后实施报销。

现场咨询按照排期实施两天（这个根据实际情况排期）。两天内容如下：

第一天：主要是培训，讲解一些注意事项。培训材料有两个，第一个是培训PPT，第二个是ISO 27002，需要回去后仔细阅读，同时审计了部分材料的问题。

第二天：对公司所有剩余材料进行审计，同时现场审查了公司的现状（检查结果属于内部信息，此处忽略）。并将所有不符合要求项以及整改的办法、需要正式审计时提供的、正式审计的应对话术等等之类的事情交代清楚，现场咨询完毕。

具体细节：机密，略

七、审计前准备工作收尾

咨询方搞的这些工作并不能完全准备充分，要准备充分还需要我们自己做很多工作。包括：

1、咨询方给做好的文档体系需要仔细阅读，并对其中的错误之处、不合理之处、和实际不相符之处进行修改。
2、填补文档体系中咨询方留空的内容，这些内容一般是和公司实际有关联的，咨询方不知道填什么自然就留白了。
3、完成咨询方咨询结束时交代的所有工作（这一步字最短，事最多）。
4、和所有认证范围内的部门确定部门接口人，并同步一些审计时的话术。

八、总结

最后，做点总结，说心里话，从价值体现的角度讲，咨询方并没有什么卵用同时花费又高，因此以后不再找咨询方了！。同时博主已经掌握了ISO 27001认证的所有细节，再遇上ISO 27001认证完全可以自己搞定。