客户关注数据安全
核对租户数据、账号与权限、研发测试、发布、备份、事件和外包云资源的管理边界。ISO27001咨询应围绕实际信息资产、风险和控制措施开展。
了解ISO27001咨询 →先分清客户任务
三个常见触发点，对应不同准备重点
不要只凭“SaaS公司”这个名称决定项目。先核对合同、招标文件或客户审核清单中的原文、获证主体和适用范围。
客户关注服务交付
核对SaaS产品以外持续提供的支持服务：服务目录、SLA、事件与请求工单、问题、变更和服务报告。ISO20000咨询应以真实服务和记录为基础。
了解ISO20000咨询 →客户同时要求两项
先确认截止日期和证书范围，再把共用的职责、培训及供应商管理与两项各自的安全风险、服务级别和运行记录分开列清，决定并行还是分阶段准备。
查看组合准备 →首次沟通
带六项摘要，就能先判断适用性
可先提供脱敏信息；公开表单不需要上传客户合同、系统清单或生产数据。
- 客户要求原文：要求的标准、证书范围、主体和截止日期
- SaaS服务边界：客户、产品、支持内容、服务时间与SLA
- 系统与数据：研发、测试、生产环境及客户数据处理范围
- 云与外包分工：云服务商、运维方和本企业各自负责什么
- 现有记录：权限审批、发布变更、备份、事件、工单与服务报告
- 已有体系：证书、内审和管理评审记录及当前最难解决的问题
赫挚如何协助
先把边界和证据缺口讲清，再安排工作
核对要求与范围
区分客户写的是证书门槛、合同义务还是内部改进目标；梳理覆盖的公司、场所、系统和服务。
形成差距与责任清单
结合现有工具和流程，列出安全风险、服务目录、SLA及运行记录的缺口，明确企业和供应商分工。
辅导运行与复核
按确认的方案辅导实施、内审和管理评审准备；企业负责真实执行，正式认证审核与决定由独立认证机构负责。
常见问题
决定项目顺序前，先排除三个误区
云平台有安全证书，我们还需要管吗？
需要先核对客户要求和双方责任。云服务商的控制不能自动覆盖SaaS企业的账号、代码、数据处理、发布和客户支持活动。
只有软件开发，没有持续运维服务，也要做ISO20000吗？
先确认是否真正向客户提供持续服务，以及客户或招标文件的具体要求；不能把软件功能清单直接当作服务目录。
两项一起做能共用一套材料吗？
人员职责和部分流程可以协调，但信息安全风险与服务级别、工单和服务报告的用途不同，应分别留下真实运行证据。
咨询完成就能保证获证吗？
不能。赫挚提供体系建设与准备辅导，不实施认证审核、不作认证决定、不签发证书；周期和费用按实际范围及机构安排确认。
依据与服务入口
标准用途可核对，项目方案要看企业实际业务
以下ISO页面说明两项标准的用途，不构成对赫挚服务或客户获证结果的背书。
联系赫挚
带着客户要求，先确定该做什么
首次沟通只需说明SaaS服务、现有记录和目标日期。