根據參考文字,列出ISO 27001認證的三個階段以及每個階段的活動.
Context:SO/IEC 27001是管理資訊保安的國際標準. 該標準最初由國際標準化組織 (ISO) 和國際電氣技術委員會 (IEC) 在2005年聯合釋出,於2013年修訂,並於2022年再次修訂. 此外,該標準還有許多已公認的國家變種. 它詳細說明了建立,實施,維護和不斷改進資訊保安管理系統 (ISMS) 的要求,其目的是幫助組織使其擁有的資訊資產更安全. 符合該標準要求的組織可以在成功完成稽核後選擇由認可的認證機構認證. 在2020年進行的一項大規模研究中,研究了ISO/IEC 27001認證過程和整體標準的有效性.  標準的運作方式 大多陣列織都有一些資訊保安控制. 然而,如果沒有資訊保安管理系統 (ISMS),控制往往會有點混亂和不連貫,通常是針對特定情況的點解決方案或僅僅是慣例. 運營中的安全控制通常專門針對資訊科技 (IT) 或資料安全的某些方面,使非IT資訊資產 (如文書工作和專有知識) 整體上受到較少保護. 此外,業務連續性規劃和物理安全可能完全獨立於IT或資訊保安,而人力資源實踐可能很少提到需要在整個組織中定義和分配資訊保安角色和責任.  ISO/IEC 27001 要求管理人員:  系統地檢查組織的資訊保安風險,同時考慮威脅,漏洞和影響; 設計和實施一套連貫且全面的資訊保安控制和/或其他形式的風險處理 (如風險避免或風險轉移) 以解決被認為不可接受的風險;以及 採用總體管理流程,以確保資訊保安控制持續滿足組織的資訊保安需求. 作為ISO/IEC 27001認證的一部分,將測試哪些控制,取決於認證審計師. 這可以包括組織認為屬於ISMS範圍內的任何控制,並且這種測試可以根據審計師的評估進行任何深度或範圍,以測試控制是否已實施並有效執行.  管理層為認證目的確定ISMS的範圍,並可能將其限制在單個業務單位或地點. ISO/IEC 27001 證書並不一定意味著組織的其餘部分,在範圍之外,對資訊保安管理有適當的方法.  在ISO/IEC 27000標準系列中的其他標準提供了關於設計,實施和運營ISMS的某些方面的額外指導,例如關於資訊保安風險管理 (ISO/IEC 27005).  ISO/IEC 27001 的歷史 本標準最初由BSI集團於1995年釋出. 它是由英國政府的貿易和工業部 (DTI) 撰寫的,由幾個部分組成.  包含資訊保安管理的最佳實踐的第一部分於1998年進行了修訂;在全球標準機構進行了長時間的討論後,它最終於2000年被ISO作為ISO/IEC 17799, "資訊科技 - 資訊保安管理的實踐準則"採用. 然後,ISO/IEC 17799在2005年6月進行了修訂,並於2007年7月作為ISO/IEC 27002最終納入ISO 27000系列標準.  標準的第二部分由BSI於1999年首次出版,被稱為BS 7799第2部分,標題是"資訊保安管理系統 - 規範與使用指南". BS 7799-2 專注於如何實施資訊保安管理系統 (ISMS),並引用了 BS 7799-2 中確定的資訊保安管理結構和控制. 這後來成為ISO/IEC 27001:2005. 2005年11月,ISO通過了BS 7799第2部分作為ISO/IEC 27001.  在2005年出版的BS 7799第3部分涵蓋風險分析和管理. 它符合ISO/IEC 27001:2005的要求.  在ISO/IEC 27001中很少提及或使用任何BS標準.  認證 一個ISMS可以通過全球多個認可的序號產生器構獲得符合ISO/IEC 27001標準的認證. 經認可的認證機構根據ISO/IEC 27001的任何公認的國家變體 (例如JIS Q 27001,日本版本) 進行認證,其功能與根據ISO/IEC 27001本身進行認證相當.  在某些國家,檢查管理體系是否符合指定的標準的機構被稱為"認證機構",而在其他國家,它們通常被稱為"序號產生器構","評估和序號產生器構","認證/序號產生器構",有時也被稱為"註冊人".  與其他ISO管理系統認證一樣,ISO/IEC 27001認證通常涉及由ISO/IEC 17021和ISO/IEC 27006標準定義的三階段的外部審計過程:  第一個階段是ISMS的初步非正式審查. 例如,有關鍵文件存在和完整性的檢查,例如組織的資訊保安政策,適用性宣告 (SoA) 和風險處理計劃 (RTP). 這一階段是為了使審計人員熟悉組織,反之亦然. 第二階段是更詳細和正式的合規性審計,獨立測試ISMS與ISO/IEC 27001規定的要求. 審計人員將尋求證據來確認管理系統的設計和實施是否正確,並且實際上正在執行 (例如通過確認安全委員會或類似的管理機構定期召開會議來監督ISMS). 認證審計通常由ISO/IEC 27001首席審計員進行. 通過此階段,ISMS將獲得符合ISO/IEC 27001的認證. 持續包括後續審查或審計,以確認組織仍然符合標準. 認證維護需要定期進行重新評估審計,以確認ISMS繼續按照規定的和預期的執行. 這些應至少每年進行一次,但 (與管理層達成協議) 通常會更頻繁地進行,特別是在ISMS還在成熟的時候.
以下是ISO 27001認證的三個階段: 一個. 第一個階段:對資訊保安管理系統進行初步非正式審查. 活動包括檢查原始檔案的存在和完整性. 2. 沒有 第二階段:由第三方進行詳細和正式的審計,以驗證ISO 27001中規定的要求的適當實施 3. 沒有. 持續:對ISO 27001的要求進行後續審查和審計,以確認其持續符合要求.