制造业 vs IT 公司：ISO 27001 差在哪

两类企业对照：一张表看清分叉点

先看全局。这张表的用法不是背下来，而是拿它去对照自己企业：哪一列的描述更像你，后面的准备重心就在哪一列。现实中不少企业是混合体（制造企业有自己的软件团队、IT 公司也有硬件与产线），混合体更要在表里逐行判断，而不是整列照抄。

一、信息资产范围：清单从哪里开始

这是两边分叉的源头，也是很多项目做歪的地方。ISO 27001 的驱动逻辑是资产—威胁—脆弱性—风险—控制，资产清单错了，后面全错。

制造企业：资产不在 IT 部门手里

制造企业的资产清单如果只列服务器、电脑、网络设备，基本上等于没做。真正需要保护的东西大部分不在机房：

• 产品与工艺类：产品图纸与三维模型、BOM、工艺路线与工艺卡、配方与配比、关键工序参数（温度、压力、速度、时间）、模具图纸、CNC 加工程序与机器人示教程序、检验与试验数据、失效分析记录。
• 客户与技术来源类：客户提供的技术文件与图纸（通常在保密协议下）、打样件与样机、客户投诉与召回记录、招标与报价文件。
• 系统类：ERP、MES、PLM/PDM、WMS、QMS，以及 SCADA、PLC、HMI、工控机、边缘网关、数控设备与检测设备自带的系统。
• 载体与场所类：纸质图纸与工艺卡、档案室与图纸柜、移动硬盘与 U 盘、车间终端与看板、打印与复印设备、报废设备与硬盘。

关键在于归属。IT 公司里"资产在 IT 部门"是常态；制造企业里，图纸归研发、工艺参数归工艺、程序归设备或工艺、检验数据归品质、客户技术文件可能归业务或品质，IT 只拥有服务器、网络和办公终端。资产的责任人必须写成业务部门的岗位，不是"IT 部代管"——否则风险处置措施落不到人，审核时一问"这条措施谁执行"就露。

IT 公司：清单容易"全而无用"

IT 公司的资产大多能从系统里导出来，做清单不难，难的是清单能不能支撑判断。代码仓库、分支与制品库、生产环境数据库、对象存储、云主机与快照、密钥与配置、日志平台、监控与告警、协作工具（即时通讯、邮件、网盘）、测试数据，这些都要在册。

IT 公司特有的两个难点：一是客户数据的边界——受托处理客户数据时，要能为每个客户说清"数据存在哪、经过哪些系统、谁能访问、到期或退出时怎么删除、怎么证明删干净了"；二是责任共担——跑在云上的业务，底层设施由云服务商负责，配置与访问由自己负责，资产清单里要把这条线划出来，否则风险处置会写成"由云厂商负责"，等于没写。

二、风险评估：威胁从哪儿来

同一个"识别威胁与脆弱性"的动作，两类企业面对的威胁来源几乎不重叠。制造企业的风险场景里，黑客往往不是主角；IT 公司的风险场景里，车间和纸质文件基本不出现。

制造企业：人、设备、外协

制造企业真实发生过的信息安全事件，长这样：

• 新品打样把整套图纸发给模具厂，模具厂又转给下一级加工厂，图纸流向竞品；
• 工艺工程师离职，带走了调机参数和自己整理的工艺笔记，到对手厂里直接复用；
• 车间用 U 盘在几台机床之间拷程序，其中一支插过外网电脑，把勒索病毒带进工控机，一条线停了两天；
• 设备厂商的远程维护通道签完合同就常年开着，谁在什么时间连进来没人记录；
• 纸质工艺卡贴在机台旁，客户来访、外部施工、清洁人员都能拍照；
• 老旧工控机跑着早已停止支持的系统，装不了防护软件、打不了补丁，也没人敢重启。

所以制造企业的风险评估，建议按"产品线 × 环节"铺场景，而不是按部门铺。环节通常是：报价与投标 → 打样与试产 → 量产 → 外协与外发加工 → 检验与出货 → 售后与索赔。每个环节只问三个问题：什么信息在这里离开厂区、离开系统、离开受控人员？答案就是风险场景，后面才谈控制措施。

还有一个必须提前想清楚的点：不能改的设备怎么办。停产改造的风险有时高于信息安全风险，企业会选择保留旧系统。这种情况在体系里不是"写不适用"就能过去，而是要写补偿措施：网络隔离与单向数据提取、专用白名单 U 盘、设备端只读、物理上锁与钥匙管理、旁路流量监控、专门的巡检与异常上报路径。补偿措施也是控制措施，只要它能被执行、被记录。

IT 公司：攻击、越权、供应链与配置

IT 公司的风险场景更像这样：外部攻击与凭据填充、内部人员越权读取客户数据、开源组件带进来的已知漏洞、外包开发者离职后仓库权限没收回、云上对象存储配成公开可读、密钥写进了代码仓库、日志开了却没人看、测试环境用了生产数据。风险的单位是"系统与数据流"，不是部门：一条数据从接入、处理、存储、备份到销毁，每一段都要问谁能碰。

云上业务还要多一层：把风险写到配置层。"云平台不安全"不是一条可处置的风险；"某个存储桶允许匿名读取""某台云主机管理端口对公网开放""密钥轮换没有责任人"才是。写得越具体，处置措施越能落地，审核时也越站得住。

三、访问控制与账号：管的是岗位还是身份

访问控制是两类企业差异感很强的一节。IT 公司习惯用身份与系统来讲，制造企业必须用岗位与出入口来讲——只讲其中一半，另一半就是空的。

制造企业：从岗位权限到车间门禁

制造企业要管的账号与权限，比"域账号"多得多：

• 业务系统账号：ERP 的采购价与客户价、MES 的工单与报工、PLM 的图纸下载、WMS 的库存调整，这些权限的敏感度不低于 IT 系统；
• 设备操作权限：操作员、调机员、工程师三级往往对应不同的参数修改权，很多设备是用面板密码或钥匙开关实现的，不是账号；
• 程序传输权限：谁能把加工程序传进机床、谁能改、改完谁复核；
• 文件与图纸：共享盘里的图纸目录权限、纸质图纸的借阅登记、图纸柜钥匙；
• 物理入口：厂区门禁、车间与仓库分区、图纸室、服务器与网络机柜所在房间、访客与外部施工人员。

制造企业容易出问题的三个具体点：一线流动快，离职当天账号没停、门禁卡没回收；公用账号，车间一台终端一个账号全班用，出了事查不到人；权限跟着人走，调机权限给出去之后没人收回。这三条都不难改，但都需要生产部门参与，光靠 IT 推不动。

IT 公司：从入职到离职的整条线

IT 公司的访问控制重点在身份生命周期与特权路径：入职开通、转岗调整、离职当日回收，每一步都要有依据和记录；生产环境访问要走审批、经跳板或堡垒机、留会话记录；密钥与凭据集中管理，不进代码、不进聊天工具；管理后台与云控制台开多因素认证；外包与第三方开发者按项目授权，项目结束即回收；客户数据的访问要能按客户维度说清"谁在什么时候看过"。

IT 公司常见的漏洞不是"没制度"，而是回收不及时与特权账号共用：离职审批走了，几个系统的账号还在；运维图省事，几个人共用一个管理员账号。这两条在现场抽查时很容易被发现——审核员只要拿离职名单对一遍系统用户列表。

四、供应商与外包：图纸出门，还是数据进别人的系统

两类企业都有供应商管理，但风险的形状相反：制造企业怕东西被拿出去，IT 公司怕数据进了别人的系统。

制造企业：一条不对称的外协链

制造企业的外部相关方很长：模具厂、外协加工、表面处理、检测与校准机构、设备厂商与代理商、耗材与备件供应商、物流、废料回收、IT 运维与软件服务商、驻场施工与保洁保安。这条链的特点是信息不对称——你给出去的是完整图纸，对方接单的只是某道工序；你要求保密，对方可能连保密协议都没签过。

要做的不是让供应商"也去做一个 ISO 27001"，而是管住信息流：

• 签得下来：保密协议覆盖图纸、工艺、配方、客户技术文件，明确不得转委托、不得留存、到期归还或销毁；
• 发得出去但发不全：只提供该工序需要的视图或尺寸，移除与加工无关的结构与参数；打样件编号管理，能追到谁拿过；
• 记得住：建外发台账——日期、对象、文件与版本、用途、是否回收或销毁、经办人。这本台账在审核时价值很高，因为它同时证明"识别了风险"和"措施在执行"；
• 管得住现场：设备厂商远程维护要申请、限时段、有人陪同、留会话记录；驻场与施工人员要登记、发临时门禁、划定活动区域、明确禁止拍摄；
• 收得回来：报废设备、工控机、硬盘、复印机存储介质在处置前要有数据清除记录，不能整机卖给回收商。

把这些要求写进采购合同与年度供应商评价表，是比较省事的落地方式。评价表上加四栏：保密协议是否有效、外发台账是否完整、现场行为是否符合、事件通报时限是否明确。一次评价覆盖两个用途，采购和体系都能用。

IT 公司：SaaS 与云是主要外部依赖

IT 公司的外部依赖更集中也更隐蔽：云服务商、SaaS 工具（协作、监控、代码托管、客服、HR）、开源组件、外包开发团队、以及各类"试用一下"的工具账号。风险点在于数据去了哪里、谁还能访问、退出时拿不拿得回来。

• 供应商分级：按"能否接触客户数据"分三档——能接触客户数据的、只提供工具但不承载客户数据的、只提供办公物资的。分级决定评估深度与复审频率，不必对所有供应商用同一张表；
• 协议与位置：能接触客户数据的，要签数据处理约定，明确存储位置、子处理者、事件通报、退出时的导出与删除；
• 清单有人维护：一份 SaaS 与云服务清单，写清谁在用、存了什么数据、管理员是谁、账号怎么开怎么关。这份清单经常缺失，而它恰恰是审核时判断"你知不知道自己的数据在哪"的依据；
• 开源与外包：组件清单与漏洞跟踪要有责任人；外包开发要约定代码交付、权限范围、结束后回收仓库与账号；给外包的测试数据要脱敏，不要直接搬生产库。

五、业务连续性与停机：停的是产线还是服务

"可用性"在标准里是同一个词，在两类企业里是完全不同的两件事。这一节很容易被写成通用模板，也容易在审核时被问穿。

制造企业：停机意味着产线停、批次废、交付违约

制造企业的连续性计划，如果只写"服务器故障后切换到备用服务器"，是没有覆盖主体的。要写清楚的是业务怎么在系统不可用的情况下继续跑：

• 降级方案：MES 或 ERP 停了，工单怎么下、报工怎么记、领料怎么核、出货怎么放行——纸质表单要有编号、有签字、事后怎么补录，这些都要预先定好并演练过一次；
• 设备侧恢复：PLC 程序、HMI 画面、机床参数、机器人程序、设备配置的备份在哪、多久备一次、谁能恢复、恢复要多久；备件清单里哪些是关键件；
• 顺序与节拍：恢复目标由生产节拍和班次决定，不是 IT 拍一个数字。哪条线先恢复、哪台设备停了可以绕、哪些工序有在制品缓冲，这些是生产部门的信息；
• 断网的取舍：发生安全事件时切断生产网往往同时造成停机。这个决定谁有权做、在什么条件下做、切了之后现场怎么组织，必须提前定，不能等事件当天再讨论；
• 网络分段：办公网、生产网、设备网分段，既是为了限制攻击面，也是为了让"局部断网"成为可选项而不是全厂停摆。

IT 公司：停机意味着服务不可用、SLA 违约

IT 公司的连续性围绕服务组织：服务依赖哪些组件、哪个组件失效会导致什么级别的降级、切换与回滚的动作是什么、对客户怎么通报。要具体到：云区域或可用区故障时的切换路径；域名、证书、对象存储、消息队列这些"被忽略的依赖"失效时怎么办；发布出问题怎么回滚、回滚由谁决定；备份是否可恢复（要验证，不是看任务状态）；关键服务的恢复目标与客户约定是否一致。ISO 20000 侧还会从服务目录与 SLA 的角度看同一件事，两个体系一起做的企业可以把演练记录共用。

还有一条 IT 公司容易漏的：连续性不只靠架构，也靠人。关键操作只有一个人会，那个人休假或离职就是单点。值班表、交接文档、双人复核，属于连续性措施，不是人事安排。

六、人员与意识：班前会还是钓鱼演练

意识培训是两类企业落差很大的一节。制造企业的一线员工可能一年都不打开一次电脑，让他们坐在会议室看信息安全 PPT，效果接近于零；IT 公司的员工天天在系统里操作，讲概念不如讲约束。

制造企业：把要求翻译成动作

制造企业的意识工作要落到具体动作，而且要落在员工实际待的地方：

• 按岗位讲，不按全员讲：研发讲图纸外发与版本；工艺讲参数修改与备份；设备维护讲程序传输与远程维护陪同；品质讲客户技术文件与检测数据；仓管讲单据与权限；业务讲报价与客户资料；
• 短、频、贴现场：班前会讲一条，比集中培训两小时管用。内容要具体到"图纸不能拍""陌生 U 盘不能插机床""参数不能私自调""访客进车间要有人陪"；
• 覆盖非常规人员：新员工、转岗、外协驻场、施工人员、保洁与保安——他们能进入敏感区域，却常常不在培训名单里；
• 现场有标识：机台旁、图纸室、门禁处、打印区贴提示，比制度文件更常被看到；
• 离职有交接：纸质文件、图纸、工牌、门禁卡、U 盘、笔记本电脑逐项收回并登记。

IT 公司：讲能被核查的行为

IT 公司的意识工作可以更"工程化"：代码与密钥不外传、生产数据不带出、客户数据不贴进外部工具（包括各类 AI 助手）、陌生链接与附件、远程与居家办公的环境要求、第三方与外包的权限边界、离职交接清单。培训要有记录：谁、什么时候、学了什么、怎么验证的（小测、演练、模拟钓鱼）。演练结果不要只统计"点了多少"，更要看"点了之后有没有人报"，后者才是体系在起作用的证据。

七、审核现场容易被追问的点

审核的思路是一致的：顺着资产—风险—控制—记录抽一条链，看它能不能一路走通。但抽到的东西，两类企业完全不同。

制造企业常被追的

• 图纸外发有没有台账？模具厂拿到的是哪个版本？怎么确认它没有转给下一级？
• 车间这台终端的账号是谁的？三个人共用一个，怎么追责任？
• 机床参数谁有权改？改完有没有复核？上一次改是什么时候、为什么改？
• 设备厂商上次远程连进来是什么时候、谁批的、有没有人在场？
• 这台工控机为什么还在用停止支持的系统？补偿措施是什么、谁在巡检？
• 断网或 MES 不可用时，产线怎么开？纸质记录事后怎么补？演练过没有？
• 纸质图纸放在哪、谁能取、借阅登记在哪？报废图纸和报废硬盘怎么处理？
• 外协厂出了信息安全事件，多久通知你？这个时限写在哪份协议里？

IT 公司常被追的

• 某个客户的数据存在哪、经过哪些系统、谁能访问？退出时怎么删除、怎么证明？
• 多租户环境下，隔离是怎么实现的？有没有测试或验证记录？
• 拿一份离职名单，现场对一遍账号：哪些还开着、为什么？
• 生产数据库谁能直连？走不走审批、有没有会话记录？
• 密钥和凭据放在哪？代码仓库里搜一下有没有硬编码？
• 在用的 SaaS 有哪些、谁维护这份清单、存了什么数据？
• 上一次恢复演练是什么时候、恢复了什么、用了多久？
• 日志保存多久、谁在看、告警响应有没有记录？

两类企业共用的骨架

说清差异之后，也要把共同的部分讲明白——这部分不必按行业重做，做了也不会因为行业不同而失效。

标准要求的框架是同一套：方针与目标、认证范围与场所、角色职责与权限、风险评估与风险处置（含适用性声明）、文件化信息与记录控制、能力与意识、运行控制、监视与测量、内部审核、管理评审、不符合与纠正措施、持续改进。认证流程也是同一条：差距分析 → 风险评估 → 体系建立 → 运行并积累记录 → 内审与管理评审 → 一阶段文件审核 → 二阶段现场审核 → 发证，之后每年一次监督审核，证书 3 年有效期，到期前完成再认证。

三类内容可以完全共用：

• 文件骨架：手册、程序、作业文件、记录表单的四层结构，编号规则、审批、发放、版本控制、保存期限；
• 管理动作：内审计划与检查表、不符合项报告与整改验证、管理评审的输入输出与纪要、纠正措施跟踪；
• 通用控制：意识与培训、供应商档案与评价、事件与问题处理、变更管理、业务连续性演练的组织方式。

不能共用的只有专业内核：制造企业的图纸与工艺资产、OT 资产与设备侧控制、外协信息流；IT 公司的代码与数据流、云与租户边界、身份与密钥。换句话说，骨架相同，填进去的资产、场景和证据不同。已有 ISO 9001 的企业在这件事上有明显优势——文件控制、内审、管审这套底盘已经在跑，做 27001 时主要是补信息安全特定部分，工作量会小很多；但风险评估、适用性声明与安全控制必须重新做，不能拿质量体系的文件顶上。

同时做 ISO 20000 的 IT 企业，还能把文件、内审、管审、培训、供应商评价进一步合并，这部分在 ISO 27001 + 20000 双体系：一起做省在哪 里有完整拆解。审核阶段各自看什么，见 ISO 27001/20000 审核阶段逐个拆。

常见误区：两边各有一个"想当然"

制造企业：以为"IT 部门做了就行"。 这是制造业项目里代价很大的一种误判。IT 部门能管服务器、网络、办公终端和部分系统账号，但管不了研发的图纸发放、工艺的参数变更、生产的公用账号、设备的程序传输、品质的客户技术文件、采购的外协台账。结果是体系文件写得很齐，一到现场，研发说不知道有这回事、工艺说参数一直这么改、车间说 U 盘不用没法干活。ISO 27001 不是 IT 项目，是业务的信息资产治理项目，IT 是其中一个执行方。真正需要的是有一位能跨部门调人的负责人，以及研发、工艺、生产、品质、设备、采购各自的接口人。

IT 公司：以为"没有机房就没有物理安全"。 没有自建机房，物理与环境安全这一块并不会消失，它只是换了地方：办公室的门禁与访客、工位的锁与屏保、白板与打印件、快递与出差携带的笔记本、员工家里的办公环境、客户现场的服务作业、报废的电脑与硬盘、以及云服务商机房——这一项虽然由服务商负责，但你仍然要能说明选择了哪一层物理控制、依据是什么。把"我们上云了"当作物理安全的答案，通常会在访谈时被追问到答不上来。

另外几个两侧都常见的误区：

• 拿模板套。 文件里写着别的行业才有的资产与流程，一眼就能看出不是自己写的。体系可以被参考，但不能被复制；
• 把 27001 做成"买设备"。 防火墙、加密、备份、终端防护都是手段，审核看的是这些手段有没有对应的风险判断、有没有人在执行、有没有记录；
• 把 27001 和安全生产混为一谈。 信息安全管的是信息的保密性、完整性与可用性，不替代人身安全与生产安全的管理；两套体系可以互相借力，但结论不能互相顶替；
• 范围写得比实际大或小。 写大了，覆盖不到的部门与场地就是空白；写小了，客户要的那块业务没被覆盖。范围一改，资产、风险、文件、记录都要跟着改，越晚改代价越大；
• 拿证即收工。 每年一次监督审核，看的是这一年的记录连不连续。日常不积累，年审前集中补，日期和内容很难对齐。

行动清单：共用先做，分叉后做

下面这份清单按"先共用、再分叉"排列。用法是：带【共用】的先做，做完再按自己的行业做【制造】或【IT】那一段。混合型企业两段都要做，但可以按业务占比排先后。

• ⬜共用定范围：用一句话写下认证覆盖的业务、部门与场所，逐个确认"有人、有记录、有体系痕迹"
• ⬜共用定人：一位能跨部门调人的负责人，加上研发/工艺/生产/品质/设备/采购（或研发/交付/运维/销售）的接口人，写下来
• ⬜共用盘资产：分层编清单，每项写业务责任人（岗位）、存放位置、三种后果
• ⬜共用做评估：按场景铺风险，输出"处置什么、处置成什么样、谁什么时候做完"
• ⬜共用跑一轮：体系运行并积累记录，内审与管理评审各跑一轮，要有真实发现和整改验证
• ⬜制造外发台账：图纸与工艺文件的发放对象、版本、用途、回收或销毁，逐条可查
• ⬜制造岗位矩阵：系统与设备权限按岗位定，生产与工艺签字确认，离职与转岗同步回收
• ⬜制造OT 现状：列出不能打补丁、不能停机的设备，逐台写补偿措施与巡检责任人
• ⬜制造降级与恢复：系统不可用时的纸质流程演练一次；设备程序与参数恢复演练一次，记录耗时
• ⬜制造外协与远程：保密协议、远程维护审批与陪同、驻场与施工管理、报废介质清除，四项都要有记录
• ⬜IT数据地图：客户数据从接入到删除画一条线，标出存储位置、访问者、删除与证明方式
• ⬜IT身份抽查：拿离职名单对系统账号，拿特权账号清单对使用人，两处都要能对上
• ⬜IT云与密钥：清一遍公开可读的存储、对公网开放的管理端口、代码里的硬编码凭据
• ⬜ITSaaS 清单：谁在用、存了什么数据、管理员是谁、账号怎么关，指定维护人
• ⬜IT恢复验证：真恢复一次关键服务并记录耗时；发布回滚演练一次
• ⬜共用自抽查：按自己的行业抽三条链走一遍，走不通的地方就是审核会问的地方
• ⬜共用问机构：范围、场所、人数口径与审核安排，以认证机构评估与现行标准版本为准

把两类企业放在一起看，结论其实很朴素：ISO 27001 检查的从来不是"你有没有一套信息安全文件"，而是"你知不知道自己的信息在哪、谁在动它、出了事能不能兜住"。IT 公司回答这三个问题时，答案大多在系统里；制造企业回答同样三个问题时，答案一半在系统里、一半在车间里。搞清楚自己属于哪一种，准备就不会从错误的资产清单开始，也不会在审核现场被一句"那具体是谁在做"问住。

▍不确定自己企业的资产边界该怎么划？留言备注"行业对照"，把主营业务、组织规模与主要场所发给我们，我们按行业给一份资产清单框架与场景提问表。