泰安ISO27001认证：账号权限和数据分级要经得起抽查
摘要：泰安装备制造和软件服务企业的系统账号共用、权限过大，数据分级只写在制度里没有落地。
引言
泰安不少装备制造企业既有生产系统，也有对外服务的软件平台。信息安全管理体系听起来抽象，落到审核现场其实很具体：谁能登录、能看什么数据、离职后账号有没有关。
泰安ISO27001认证：先管住人和账号
信息资产清单是全部控制措施的起点。
账号共用和权限过大是最常见的失分点。
数据分级要能对应到具体的存储和传输要求。
离职、调岗的权限回收要有时间要求。
资产清单不能只写服务器
信息资产包括硬件、软件、数据、文档、人员和云服务。泰安一些企业的资产清单只有机房设备，客户资料、图纸、源代码和第三方账号都没算进去，导致后面的风险评估覆盖不全。
按类别建立资产清单，标注责任人和位置。
图纸、配方、客户数据要单独标识。
云服务和外包系统纳入清单并明确责任边界。
资产变动时更新清单，至少每年复核一次。
权限管理要能回答三个问题
审核常问：这个账号是谁的、为什么有这个权限、什么时候回收。共用账号、管理员权限泛发、离职不关账号，都会让这三个问题答不上来。
一人一账号，禁止共用和共享口令。
按岗位授予最小权限，管理员账号单独管理。
离职、调岗在约定时限内回收权限并留记录。
定期做权限复核，清理长期不用的账号。
数据分级要落到动作上
很多企业把数据分成公开、内部、秘密三级，但分完之后没有任何差别化管理。真正的分级要对应到存储位置、访问审批、传输加密和销毁方式，否则只是标签。
分级标准写清判断依据和示例。
不同级别对应不同的访问审批和加密要求。
对外传输和拷贝要有审批和记录。
介质报废前按级别做清除或销毁。
适用性声明别照抄附录
ISO/IEC 27001:2022 附录A 给出了控制措施集合，企业需要根据风险评估结果编制适用性声明，说明哪些措施适用、哪些不适用及理由。整份照抄，等于没有做过风险判断。
风险评估结果要能对应到具体控制措施。
不适用的措施写明理由，不能留空。
控制措施落实到责任部门和执行记录。
每年或重大变化后复核适用性声明。
泰安ISO27001认证控制点与证据对照
| 控制点 | 应有证据 | 常见缺口 |
| 资产清单 | 分类清单、责任人、位置 | 只统计硬件 |
| 访问控制 | 授权审批、权限复核记录 | 账号共用、权限过大 |
| 数据分级 | 分级标准、差异化措施 | 分级后无差别管理 |
| 离职管理 | 权限回收单、回收时间 | 离职后账号仍可登录 |
泰安企业建立信息安全管理体系的顺序
第一步，盘点信息资产，覆盖系统、数据、文档和云服务。
第二步，做一次风险评估，识别威胁、脆弱性和影响。
第三步，按风险选择控制措施，编制适用性声明。
第四步，把账号、权限、备份和事件响应落到日常流程。
信息安全管理体系不是买一套设备就能完成，它更多是流程和习惯的调整。账号、权限、备份这三件事做扎实，已经能挡住大部分常见风险。
需要区分的是，ISO 27001 认证与网络安全等级保护备案是两套体系，前者是国际标准认证，后者是法定制度，不能互相替代。
认证流程与维护提醒
信息安全管理体系与网络安全等级保护是两套制度。前者是自愿性的国际标准认证，后者是网络安全法确立的法定制度，需要备案、测评和整改。企业同时涉及两者时，可以把等级保护测评发现的问题纳入体系的风险处置，但不要把认证证书当作已完成等保义务的证明。
常见问题 FAQ
泰安ISO27001认证要先做等保吗？
两者独立，等保属于法定义务，认证会关注合规情况。
没有机房能认证吗？
可以，使用云服务时需明确责任划分和控制措施。
风险评估多久做一次？
至少每年一次，重大变化时应重新评估。
认证费用怎么定？
按人数、场所和范围由认证机构核定，以合同为准。
