中小企业做ISO 27001，怎么在资源有限的情况下把体系做实

中小企业做信息安全管理体系，常见的顾虑是人手不够、预算有限、怕做出来落不了地。实际上，规模小也有对应的优势：范围清晰、决策链短、改动快。关键是把有限的资源放在真正影响风险的地方。

一、范围不要贪大

先把客户真正关心的业务和服务圈进范围，把支撑这些业务的系统和场所理清楚。范围过大，资产和风险条目成倍增加，管理成本上去了，实际保护效果未必提升。范围过小，客户要用的服务不在证书上，等于白做。判断标准是看合同和客户评估问卷里问的是什么。

二、文件做减法

中小企业不需要照搬大企业的文件体系。可以按三层组织：一份方针，几份管理办法，若干份操作性要求。合并同类项，例如把访问控制、账号管理、远程接入合并到一份文件里；把备份、恢复、介质管理合并到一份文件里。文件篇幅不必长，但要让执行的人看得懂、做得到。

三、控制分批推进

93项控制不必一次全上。可以先做基础能力：身份与访问管理、备份与恢复、日志与监控、漏洞管理、事件处置、意识培训。这几项覆盖面广、见效快。数据分类分级、防泄漏、安全开发这类控制可以在下一周期推进。每批推进后同步更新适用性声明。

四、用现成的工具，不追求自建

中小企业不必自建全套平台。可以利用现有系统自带的能力，例如域控或统一身份、终端管理软件、云平台的安全组与日志服务、开源的工单系统。工具的作用是留下记录，重点在于把流程跑起来。

五、一人多岗但职责要清楚

人手少的时候，体系负责人往往兼多项工作，这在标准里是可以的，前提是职责写清楚、不相容的职责有分离安排。例如权限审批与权限实施不宜由同一人完成，可以用上级复核的方式弥补。内部审核不能审核自己的工作，可以安排跨部门交叉审核。

六、把体系接到日常动作上

比较有效的做法是把体系要求嵌入已经存在的流程。新员工入职时顺带完成安全告知与账号申请；离职流程里增加账号回收与资产归还；系统上线流程里增加安全评估环节；月度例会上过一遍安全指标。这样体系不需要额外的会议和表单，维护成本自然下降。

七、预算有限时的优先顺序

如果资源确实紧张，投入顺序可以这样考虑：先解决勒索软件与数据丢失风险，即备份与恢复加终端防护；再解决权限混乱与账号失控，即身份与访问管理；然后补日志与监控，让异常可被发现；随后做漏洞管理与补丁；随后考虑数据分类分级与防泄漏等更细的控制。这个顺序与多数企业遭遇的实际事件形态是匹配的。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com