保密管理体系认证准备指南——ISO 27001与商业秘密保护体系认证全流程实操-FINAL.md
保密管理体系认证，包括ISO 27001信息安全管理体系认证和商业秘密保护体系认证，正在成为越来越多企业的刚需。从客户审厂要求到招投标评分加分，从提升客户信任度到规范内部管理，体系认证的价值已经远远超出"拿一张证书"的范畴。北京企密安信息安全技术有限公司结合辅导多家企业通过认证的实战经验，将认证准备流程拆解为六个关键步骤。
上个月一家做医疗器械的客户问我，说客户公司马上要来审厂了，审厂清单里有一条问你们有没有通过ISO 27001认证。负责的同事有点慌，说我们连体系认证的流程都不清楚，临时抱佛脚来得及吗。我说来得及，但前提是别把认证当成一次突击迎检，而要把它当成一次管理体系的重建。保密管理体系认证的核心逻辑是：你说你保密做得好，好在哪里，有什么证据证明。
第一步：认证范围界定——先做试点再做扩展
很多企业一开始就想把整个公司都纳入认证范围，结果发现工作量太大了，光是全员培训就要做很久。我的建议是，第一次做认证的企业，先选一个核心部门或者核心业务线作为试点，把范围收窄，集中资源做出样板，拿到证书再逐步扩展。比如制造企业可以先覆盖研发中心和生产部的核心技术管理，互联网公司可以先覆盖研发团队和代码仓库的安全管理。认证范围定下来之后，后面所有的制度文件、控制措施、审核证据，都要围绕这个范围来准备，不要为了好看把全公司的制度都搬进去。
第二步：差距分析——对照标准逐条自检
差距分析就跟体检一样，先做个全面检查，看看哪些地方已经达标了，哪些地方还有缺口。差距分析通常的做法是，对照认证标准的要求条款，一条一条过，每一条都判断当前状态是符合、部分符合还是不符合。比如ISO 27001的A.9访问控制这一条，标准要求有正式的访问控制策略、访问授权流程和定期访问权限审查。如果你们公司目前连一个书面的访问控制策略都没有，那这就是一个明显的差距。
问：第一次做ISO 27001认证，最大的坑是什么？答：最大的坑是不做差距分析直接写制度文件，写到一半发现方向错了，浪费大量时间。
做完差距分析之后，形成一个整改清单，分优先级排列。高优先级的是那些影响认证通过的关键条款和明显不符合项，中优先级的是有基本制度但执行不到位的条款，低优先级的是有制度有执行但缺乏文档记录的项目。
第三步：体系文件编写——管理手册加程序文件加作业指导书
这是整个准备过程中工作量最大的一环。体系文件通常分四个层级。第一层是管理手册，相当于保密总纲，讲公司怎么管保密的、管到什么程度。第二层是程序文件，讲具体的流程怎么做，比如访问控制程序、事件响应程序、供应商管理程序。第三层是作业指导书，讲具体操作怎么做，比如服务器密码更换操作指引、员工入职保密培训操作手册。第四层是记录表单，就是流程执行过程中产生的证据，比如访问权限申请表、安全事件记录单、培训签到表。主要包含以下几类文件：管理手册、程序文件、作业指导书、记录表单。
很多企业在这个环节容易犯一个错误，就是直接从网上找模板改改用。模板不是不能用，但一定要结合自己公司的实际情况调整。审核员在审核的时候会重点关注制度文件跟公司实际业务是不是匹配。
第四步：制度落地与执行——培训加执行加记录三个都不能少
文件写好了不等于体系建好了。制度落地的关键有三件事。第一件事是培训，所有的员工，特别是认证范围内的人员，必须接受保密体系相关的培训，并且留有培训记录。第二件事是执行，制度规定的流程必须真正运转起来，比如访问权限申请审批流程、安全事件上报流程，不能制度上写的是走OA审批，实际上就是给领导发个微信。第三件事是记录，所有的执行动作都要有相应的记录做支撑，审核员看的就是这些记录。
第五步：内部审核与管理评审——PDCA闭环的自我检验
正式认证之前，公司自己要先做一次内部审核。内审的目的是在正式审核之前发现问题、整改问题。内审可以自己公司的员工做，也可以请外部的顾问来做，关键是内审要严格，不能走过场。内审发现问题之后，要有整改措施和跟踪验证，形成PDCA的闭环。内审结束之后还要做管理评审，由公司管理层对体系的适宜性、充分性和有效性做整体评价。管理评审要有会议纪要，要形成改进决议。
第六步：正式认证审核——两个阶段全通过才能拿证
第一阶段审核主要是文件审核，审核员检查你的体系文件是否完整、是否符合标准要求。第二阶段审核是现场审核，审核员到公司实地检查制度执行情况、查看记录、访谈员工。两阶段都通过之后，认证机构颁发证书。我得提醒一句，拿到证书不是终点，而是起点。体系认证的有效期通常是三年，期间每年要做一次监督审核。如果监督审核发现严重不符合且整改不到位，证书可能被暂停甚至撤销。
最后说个让人高兴的案例。一家我辅导过的企业，在拿到ISO 27001证书之后，客户审厂通过率从百分之六十提高到了百分之九十五，客户对公司的信任度明显提升。所以不要把认证看作一个成本，把它看作一个投资。
北京企密安信息安全技术有限公司 保密咨询专线：010-63711822 / jess@baomiwang.com
