ISO 27001差距评估：步骤、交付物与常见误区
ISO 27001差距评估把组织现有的控制措施和文件同标准条款、附录A控制集逐条对照，产出一份按优先级排序的整改计划。它帮企业为认证审核做准备，但它本身不是证书，任何评估也不能承诺认证一定通过。
什么是ISO 27001差距评估？
ISO/IEC 27001是信息安全管理体系（ISMS）的国际标准：一套成文的、基于风险的方针、过程与控制措施，需要持续维护改进，而不是装一次就完事。认证由认可的认证机构在自行审核后签发；标准本身要向ISO购买，而它的要求正是所有评估对照的尺子。
差距评估诚实地回答一个问题：组织今天离满足这些要求还有多远？它审查既有的东西——文件、实际做法、技术配置——并把差异按标准条款（第4至第10条承载管理体系要求）和附录A控制集记录为发现项；2022版附录A按主题归组，包含93项参考控制。
三点澄清，避免后面误会：
- 它是就绪度工作，不是审核。 没有认可机构，没有认证决定，没有带认证机构编号的正式不符合项。它产出的是一份可执行的计划。
- 范围是自己选的，不是被强加的。 ISO 27001并不要求认证整个组织：范围可以是一个业务单元、一处地点、一条产品线或一组系统，前提是边界明确且有正当理由。多数公司先从窄范围做起——这个决定能让评估费用和认证费用都减半，值得在任何人审查第一份文件之前定下来。
- 它对证据说实话。 文件写一套、实际做另一套，就照实记录，因为认证审核员日后会在更糟的时刻发现同样的差异。
评估流程
下面六个步骤是一次能落地的评估的样子。"产出"一列才是这张表的重点：每一步都应当留下一份你留得住的交付物，而不是一种印象：
表 A：步骤 | 做什么 | 产出
| 步骤 | 做什么 | 产出 |
|---|---|---|
| 界定范围 | 确定ISMS边界：哪些地点、部门、系统和数据纳入、为什么；识别相关方及其要求 | 带理由的范围说明，可直接用于Stage 1审核 |
| 文件审查 | 对照条款4–10与附录A通读既有方针、程序和记录；检查文件描述的是现实还是愿景 | 文件清单，逐项标注状态：存在/部分/缺失，并附见到的证据 |
| 访谈 | 与实际运行流程的人交谈——IT、人力资源、运营、财务、管理层——并比较不同角色的回答；两个部门之间的矛盾同样是发现项 | 每个流程一份访谈记录，标注做法与文件的差异 |
| 技术抽查 | 抽查实际配置：访问名单、日志、备份作业与恢复证据、补丁状态、物理访问——是抽样，不是渗透测试 | 按控制领域列出的检查结果，带样本和日期，便于复核验证 |
| 评分 | 按严重度和工作量给每个发现项打分；严重度跟随组织风险，而不是控制项在附录A中的位置 | 差距登记表：条款或控制项、现状、发现项、严重度、建议负责人 |
| 报告与路线图 | 把发现项汇成报告并排出工作顺序：快速见效项、结构性事项，以及Stage 1审核前必须存在的文件 | 差距分析报告、带优先级的整改路线图、适用性声明草案 |
关于方法的说明：标准并不规定差距评估怎么做，因此各家做法不同。把有用的评估和昂贵的评估区分开的，是证据纪律——发现项要挂在认证审核员能复核的依据上——以及事后跟进的登记表。安全工作的治理与审核问题见IT审计与咨询页，ISMS背后基础设施安全的更广背景见数字基础设施页。
交付物
四件交付物定义了一次严肃的评估。如果方案里没有点名全部四件，先问为什么：
- 差距分析报告。 叙述部分：审查了什么范围、用了什么方法、按条款和控制领域列出的发现项，以及一份总经理十分钟能读完的执行摘要。报告解释差异，而不只是罗列差异。
- 差距登记表。 工作用的数据库：每条发现项带条款或附录A出处、现状、严重度和优先级。项目之后靠这张表推进——它把报告从建议变成带负责人的待办清单。
- 整改路线图。 把发现项排成计划：Stage 1审核前必须有什么、ISMS头几个月该做什么、什么可以等等。排序要尊重依赖关系——访问名单还不存在，就谈不上按季度复核访问权限。
- 适用性声明（SoA）草案。 逐项列出附录A控制、是否适用、为什么适用、如何落地的文件。评估期间备好的SoA草案，是整个认证项目里省时最多的一件东西，因为否则就得在截止压力下从白纸写起93项决定。
这项评估不是什么
把边界说清楚，后面少吵架：
- 它不是证书。 只有依据ISO/IEC 17021运作、并持有自身认可的认证机构才能给ISMS发证。评估是咨询性工作，其发现项对认证机构没有效力，任何评估结果都不保证通过认证——组织可以通过评估，却仍然在Stage 2审核中败于审核员独立提出的发现项。
- 它不是内部审核。 标准把内部审核和管理评审作为运行ISMS的一部分来要求；那是体系内部的义务，日后进行，而评估是把你带到"它们可以开展"那个位置的工作。
- 它不是安全测试。 抽查配置是其中一部分；渗透测试或完整技术审核是另一类委托，范围和深度都不同。
- 它不是法律意见。 ISO 27001与数据保护法有交集，但是不同的工具——见下文问答——评估和报告都不能替代合格法律或数据保护顾问的意见。
- 它不是对认证的承诺。 任何暗示保证认证、报出成功率，或暗示与独立作决定的认证机构有关系的供应商，都应当被当作警告信号，而不是卖点。独立性就是产品本身。
为认证审核做准备
评估的真正价值体现在随后的认证项目里。两者如何衔接：
- Stage 1 检查文件与范围：ISMS范围说明、风险评估与风险处置、方针、适用性声明、内部审核记录和管理评审记录。Stage 1的发现项大多是缺失或过时的文件，而这正是评估的文件审查与SoA草案所产出的。
- Stage 2 检查落地与实践：控制是否按文件描述那样运行，并在整个范围内抽样。评估中的访谈和技术检查正是这一阶段的预演——一个已经就访问复核和事件处置回答过一轮问题的团队，在审核现场会从容得多。
- 监督审核与复评 紧随认证之后，所以路线图必须建设的是一套运行中的体系，而不是一摞文件：会循环执行的访问复核、被记录的事件、留痕的培训、被恢复验证过的备份。为通过一次审核而搭的ISMS，会在第一次监督审核时塌掉。
常见差距
中小型企业反复出现的发现项，按出现频率大致排序：
- 资产清单。 没有带负责人的、最新的系统、设备和数据清单。几乎所有其他控制都以"知道有什么"为前提，所以这通常是路线图上的第一项。
- 风险评估方法。 要么缺失，要么从模板抄来、没有组织层面的理由；认证审核员会问风险是如何识别和处置的，"顾问写的"不是能过关的回答。
- 供应商管理。 没有登记哪些供应商接触公司数据、供应商协议里没有安全要求、没有复评周期。对与开发伙伴合作的公司来说，这个差距正压在IT外包页讨论的合同问题之上。
- 访问复核。 入职时开的账号从未复核；访问名单里找得到离职者；离开岗位的人仍握着管理员权限。纸面上有复核、却没有记录的，算半个发现项。
- 事件处置。 没有定义的流程、没有联系人清单、发生过的事件没有记录。公司自己都忘了的事件，恰恰是审核里变成发现项的那些。
- 意识培训。 用一次性的入职幻灯片代替有记录的常规计划。标准问的是人是否清楚自己的义务；一份带日期的签到表就能回答这个问题。
- 备份测试。 备份配置好了，从未恢复过。从未尝试过的恢复就是未经测试的控制，评估的技术检查通常要的是恢复证据，而不是一张计划截图。
如何挑选评估机构
三个问题把严谨的评估和昂贵的过场区分开：
- 独立性。 评估师不能在认证决定上有任何利益——评估师不发证，发证的是认证机构，承诺两样都包的供应商描述的是利益冲突，不是服务。独立性还包括评估师事后没有产品要卖：一份推荐你所用平台的评估，是附带发现项的销售文件。
- 方法。 提案之前先要方法：范围怎么商定、发现项怎么评分、每个控制领域要求什么证据、交付什么。事先写下来的方法，就是日后发现项能经得起认证审核员推敲的原因。
- 样例报告。 单一最好的检验。一份脱敏的差距登记表和报告，会准确展示你将得到什么：发现项是否带着证据挂在条款上、严重度是否讲了道理、路线图是排序还是愿望清单。
常见问题
差距评估要多长时间？
取决于范围，在界定范围之前报工期的人都是在猜。决定因素是范围的大小——边界内有多少地点、系统和流程——文件的现状，以及需要访谈多少人。已有方针的单部门范围，和从零开始的多站点范围，是两种不同的委托；诚实的答案在范围界定谈话之后以书面给出。
销售是否需要ISO 27001认证？
通常这是客户要求而不是法律要求：招标、大客户和受监管买方越来越常要求认证，软件和服务行业尤其如此。务实的回答是查自己的销售管线——如果有两家认真的潜在客户提过，商业理由就成立；如果一家都没有，理由就落在降风险而不是增收入上。标准不要求认证整个组织，所以范围化的认证可以先服务面向客户的那部分业务。
适用性声明是什么？
逐项列出附录A控制、说明其对你的范围是否适用及原因、并描述如何落地的文件。它是标准要求、认证机构要审阅的文件；也是最早准备最划算的交付物，因为它把控制决策一次性写成文字，而不是在审核压力下补写。SoA草案就是上面四件评估交付物之一。
差距如何评分？
按严重度和优先级，严重度对应组织面临的风险，而不是控制项在标准中的位置。可用的评分会自我解释：这个差距留着会发生什么、谁或什么暴露其中、补齐要付出什么。只把条目排成"高/中/低"而不给理由的评分，日后会引发争论；带书面理由的评分，产出的是人们会照着走的路线图。
差距评估能代替审核吗？
不能。内部审核和管理评审是ISMS内部的义务，认证审核属于认可的认证机构。差距评估在两者之前、也帮助两者，但它不具备任何审核效力——这就是上文"不是证书"那一行；任何模糊这条线的供应商，都应被要求书面澄清。
涉及KVKK或GDPR吗？
部分重叠，并不相同。ISO 27001是信息安全的管理体系标准，只在安全控制保护个人数据的范围内触及数据保护；KVKK和GDPR设定的是法律义务——合法性基础、数据主体权利、泄露通知、跨境传输规则——ISMS可以支撑它们，但本身并不满足它们。许多公司用共享的交付物并行推进两套工作，法律问题留给合格顾问；围绕厂商与托管的KVKK/GDPR义务见IT外包页。
资料来源与标准
- 标准本身是ISO/IEC 27001，由ISO发布（https://www.iso.org）；被评估的要求是条款4–10与附录A控制集，2022版包含93项参考控制。认证由依据ISO/IEC 17021运作的认可认证机构实施；本页不作任何形式的认证宣称。
- 流程、交付物与常见差距的表述，沿用差距评估的通行从业者实践（范围界定、文件审查、访谈、技术抽样、按严重度评分的差距登记表、整改路线图、适用性声明草案）；本页不出现任何工期、费用或成功率。
- 认证流程的表述（Stage 1文件审核、Stage 2实施审核、监督审核）遵循标准公布的认证框架；请以你选择的认证机构核实现行规则。
- 本页任何地方都不含WorldwideTradeX已获ISO 27001认证或认可的说法，也不含认证保证；数据保护义务只点名、不解读——请与合格顾问确认适用规则。