认证：
管理体系认证/自愿性评审
认证依据（认证标准）：
国际标准 ISO IEC 27001（信息安全管理体系要求）
标准所有者：
国际标准化组织 ISO
ISO IEC 27001标准涵盖哪些内容？
ISO IEC 27001标准定义了组织可用于认证信息安全管理体系（ISMS）的要求，包括但不限于：
- 组织建立了合适的信息安全管理体系，包括风险识别、自我评估、预防和纠正措施以及持续改进的机制。
- 组织为其处理的信息设定了合理的安全等级。
- 组织基于风险评估与风险管理工作，识别并落实了适当的措施以保障信息安全。
TÜV南德对ISO 27001的“认证”和/或颁发的认证标志意味着什么？
- 客户自愿依据既定准则（认证标准）接受评审（审核）。
- 只有当评审（审核）未发现任何不符合认证标准要求的严重不符合时，方可颁发证书和/或授予认证标志的使用权。
- 证书和/或认证标志设有有效期。相关方可以在TÜV南德的证书数据库中核查各个证书的有效性。
- 为维护证书有效性，证书持有人每年必须通过计划性监督审核。
- 在特定情况下，可能进行不预先告知的突击审核。
我们如何实施审核？
独立且具备资质的专家（审核员）会采用以下审核方式：
- 文件评审：
评审组织的相关要求和/或文档，以确保所有与IT服务管理体系相关的流程得到系统化管控。 - 现场审核：
在客户场所通过访谈和现场核查，验证上述要求在实际中已得到有效落实。依据各类记录对过程开展现场随机抽查，如可获取的测量结果、会议纪要、培训和资质记录、投诉管理资料以及与既定目标和衍生改进项目相关的记录。
哪些内容超出了ISO/IEC 27001的认证范围？
- ISO 27001认证不属于产品认证。因此，认证并不针对获证客户的产品或服务质量做出任何直接判定。获得ISO 27001认证并不代表企业所生产的产品或提供的服务具备更高品质。
- 尽管是信息安全管理体系的核心目标，但获得ISO 27001认证并不意味着企业的信息/数据不会丢失、不会被非法篡改或始终能够被及时访问。
- 认证不能证明企业所采取的技术和组织措施能够无误运行
