信息安全服务资质和ISO27001是什么关系

企业做信息安全相关的资质与认证时，经常同时听到两个名字：信息安全服务资质和ISO27001信息安全管理体系认证。这两份证书都由同一家机构颁发，名字里都有信息安全，很容易被当成二选一的关系。实际上两者的定位完全不同。

一个是管理体系认证，一个是服务能力认证

ISO27001认证针对的是企业的信息安全管理体系。它回答的问题是：这家企业有没有建立一套完整的信息安全管理机制，包括风险评估、资产梳理、访问控制、供应商管理、事件管理、业务连续性安排等，并且这套机制是不是在有效运行。认证的对象是企业自身的信息安全治理水平，不限定企业从事什么业务。

信息安全服务资质针对的是企业对外提供安全服务的能力。它回答的问题是：这家企业能不能按规范给客户做好某一类安全服务，比如安全集成、安全运维、风险评估、应急处理。认证依据的标准是CCRC-ISV-C01《信息安全服务规范》，认证的对象是具体的服务类别，颁发证书时会写明类别与级别。

一句话概括：前者考的是企业怎么管自己，后者考的是企业怎么服务客户。

为什么总被放在一起提

原因是两者在准备内容上有大量重叠，而且经常被同一个客户群同时要求。政务、金融、能源类的招标项目，往往在资格条款里同时列上信息安全管理体系认证和信息安全服务资质，一个证明企业的规范化水平，一个证明企业的专业服务能力。

重叠之处在于内部管理要求。服务资质要求企业有服务管理制度、项目管理制度、质量管理制度、保密管理制度，这些制度与ISO27001的文件体系是同源的。企业如果已经建立了信息安全管理体系，制度文件的框架可以复用，只需要补充服务交付过程的具体规定，比如作业指导书、服务级别管理、交付评审、事件处置等。

差异之处在于过程证据。ISO27001的审核关注体系运行记录，包括风险评估报告、内部审核、管理评审、改进措施、培训记录等。服务资质的审核关注服务过程记录，包括项目合同、技术方案、实施记录、测试报告、验收文件、运维工单、应急处置记录等。后者更贴近具体项目，颗粒度更细。

能不能只做一个

能不能互相替代，取决于企业的用途。如果企业的客户只是要求证明自身的信息安全管理水平，ISO27001认证是直接答案。如果客户是采购安全服务的甲方，或者企业要参与安全服务类项目的投标，信息安全服务资质才是对应的凭证，这时候体系认证只能在管理规范性上起到辅助作用。

从审核实践看，已经有ISO27001认证的企业在服务资质的审核中确实占据便利，因为文件框架和部分运行记录可以共用，体系里的应急演练、供应商评价、培训管理等环节也与服务资质的关注点相通。但便利不等于可以免审，服务类别的专业能力仍需单独证明。

先后顺序怎么安排

两种顺序都可行。先做体系认证的企业，可以借体系建设把内部管理理顺，再向服务资质延伸，文件改造的工作量较小。先做服务资质的企业，通常在准备过程中已经形成了较完整的制度文件，后续做体系认证时补齐信息安全管理特有的部分即可，比如风险评估方法、适用性声明、风险处置计划。

对企业来说，比较务实的考虑是看客户需求的时间点。哪一份证书更早影响投标资格，就先启动哪一份。两份都需要的企业，可以在一开始就把文件体系设计成一体化的，避免后期出现两张皮。

总结

信息安全服务资质与ISO27001信息安全管理体系认证不是替代关系。前者是服务能力认证，围绕具体的服务类别展开；后者是管理体系认证，围绕企业自身的信息安全治理展开。两者文件可以共用框架，证据各有侧重，是否都做取决于企业的客户要求与业务方向。资质申报的周期长短，很大程度上取决于材料和实际做法是否对得上。厦门格略咨询长期服务福建的信息安全服务企业，在这类资质申报中接触到的情况大多集中在人员证明和项目业绩这两块材料上。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、ISO50001、FSC、IATF16949、DCMM、DSMM、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869 

王经理：18065922510

公司官网：www.fjgelue.com