湖南
湖南做物联网终端系统设计、开发与技术服务的企业，办ISO27001信息安全管理体系和ISO27018云隐私安全管理体系认证，认证范围怎么写，这里面门道很多，写错了要么审核过不了，要么拿到的证书对业务没用。今天把确定范围的关键逻辑讲透。
认证范围本质上要回答四个问题：在哪查、查哪些部门、查哪些业务活动、覆盖哪些系统和数据。落到物联网终端系统企业身上，需要从物理边界、组织边界、技术边界、业务边界四个维度来划定。
物理边界就是纳入认证的办公场所和机房，如果有多个办公地点，共享系统、共享数据的地点不能硬切掉。组织边界就是纳入认证的部门和人员，研发、测试、运维、项目管理这些与核心业务直接相关的部门必须纳入，不能只挑配合度高的部门。技术边界是最容易出问题的，物联网终端系统涉及终端设备管理平台、云端数据服务、远程控制接口、OTA升级通道等，这些系统和网络环境哪些纳入、哪些排除，必须画清楚网络拓扑图，审核员一定会深挖。业务边界就是你的物联网终端系统设计、开发、技术服务这些核心业务流程。
特别要注意一个关键规则：ISO27018的认证范围不能大于ISO27001的覆盖范围，超出的部分必须先对ISO27001做扩大审核，才能纳入ISO27018的认证范围。所以两个体系的认证范围必须保持一致，建议同步规划、同步确定。
范围写大，审核周期长、成本高；范围写小，拿到的证书覆盖不了实际业务，投标的时候用不上。合理做法是先覆盖核心业务链路，后续再分阶段扩展。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
