申请ISO27001体系认证需要提供哪些资料？

一、申报提供：

1、营业执照复印件（盖公章）；

2；职能角色分配表；

3、申请认证组织的信息安全管理体系有效运行的证明文件（如体系文件发布控制表，有时间标记的记录等复印件）；

4、申请组织的简介：

4.1、组织简介（1000字左右）；

4.2、申请组织的主要业务流程；

4.3、组织机构图或职能表述文件；

5、申请组织的体系文件，需包含但不于（可以合并）：

5.1、信息安全管理体系ISMS方针文件；

5.2、风险评估程序；

5.3、适用性声明；

5.4、风险处理程序；

5.5、文件控制程序；

5.6、记录控制程序；

5.7、内部审核程序；

5.8、管理评审程序；

5.9、纠正措施与预防措施程序；

5.10、控制措施有效性的测量程序；

5.11、职能角色分配表；

5.12、整个体系文件结构与清单。

6、申请组织体系文件与GB/T22080-2008/ISO/IEC 27001:2005要求的文件对照说明；

7、申请组织内部审核和管理评审的证明资料；

8、申请组织记录保密性或敏感性声明；

9、认证机构要求申请组织提交的其他补充资料。

二、以下为企业与我司咨询配合共同建立起来的相关文件要求

1） 服务提供者期望获得的服务管理目标；

2） 服务需求；

3） 可能影响SMS的已知限制；

4） 政策、标准、法律法规要求和合同义务；

5） 权利、职责和流程角色的框架；

6） 规划、服务管理流程和服务的权利和职责；

7） 实现服务管理目标所需的人员、技术、信息和财务资源；

8） 在设计并转换新的或变更的服务过程中，与其他相关方协同工作所采用的方法；

9） 服务管理流程和SMS其他组成部分集成所采用的方法；

10） 风险管理和风险接受标准所采用的方法；

11） 用于支持SMS所使用的技术；

12） 如何测量、审核、报告和改进SMS和服务

13） 资金和预算的分配和管理；

14） 责任、权利和流程角色的分配；

15） 人员、计划和信息资源的管理；

16） 识别、评估和管理服务的风险；

17） 服务管理流程的管理；

18） 监控和报告服务管理活动的执行情况。

19） 客户反馈；

20） 服务和流程的执行情况和符合性；

21） 当前和预测的人员、技术、信息和财务资源水平；

22） 当前和预测的人员和技术能力；

23） 风险；  

24） 预防和纠正措施的进展情况；  

26） 设计、开发和转换活动的权利和职责；

27） 服务提供者以及其他相关方执行的活动，包括横跨服务提供者和其他相关方界面的活动；

28） 同利益相关方的沟通；

29） 人员、技术、信息以及财务资源；

30） 活动的时间进度；

31） 风险的识别、评估和管理；

32） 同其他服务的依从关系；

33） 新的或变更的服务的测试需求；

34） 服务接受准则；

35） 以可测量的术语表述的交付新的或变更的服务的预期结果。

应设计新的或变更的服务，设计文件至少包括以下内容：

36)交付新的或变更的服务的权力和职责；

37)交付新的或变更的服务提供者、客户以及其他相关方执行的活动；

38)新的或变更的服务对人力资源的需求，包括适当的教育、培训、技能和经验需求；

39)交付新的或变更的服务的财务资源需求；

40)支持新的或变更的服务交付所需要的新的或变更的技术；

41)本标准所要求的新的或变更的计划和策略；

42)新的或变更的合同和其他文件化的协议，以保持与服务需求的变化一致；

43)对SMS的变更；

44)新的或变更的SLAs；

45)服务目录的更新；

46)用于交付新的或变更的服务的程序、测量方式和信息。

47） 对服务组件的预算与核算至少应包括：

48） 用于提供服务的资产（包括许可证）；

49） 共享的资源；

50） 管理费用；

51） 资本与运营支出；

52） 外部供应的服务；

53） 人员；

54） 设施。

55） 当前及预测的服务需求；

56） 协商确定的容量和性能要求对可用性、服务连续性和服务级别的预期影响；

57） 服务容量升级的时间跨度、阀值和成本；

58） 法律、法规、合同或组织变化的潜在影响；

59） 新技术和新工艺的潜在影响；

60） 使其能够进行预测性分析的方式方法，或者其引用。

61） 确保信息安全管理目标被确立；

62） 定义信息安全风险管理和风险接受原则所采用的方法；

63） 确保定期执行信息安全风险评估；

64） 确保执行信息安全内部审计；

65） 确保对审计结果进行回顾以识别改进的机会。

信息安全控制以：

66)保护信息资产的机密性、完整性和可访问性；

67)履行信息安全方针的要求；

68)实现信息安全管理目标；

69)管理信息安全相关风险