ISO 27001 认证准备：先做什么？
ISO 27001 准备不应从购买模板开始。先明确范围：哪些业务、人员、系统、供应商和信息需要纳入；再审视风险、责任人、政策、控制和可用证据。对于使用 Microsoft 365 的企业，文件中的控制要求也应与真实的身份、设备、数据和日志设置相互对应。
实务上的第一步，是把缺口按风险、业务影响和实施难度排出顺序，形成管理层能理解、团队能执行的路线图。GuruLab 提供准备咨询和实施支持，不提供认证审核或发证服务。
SYDNEY · AUSTRALIA · 普通话 · 粤语
给华人企业的
实务安全指南
围绕 ISO 27001、Microsoft 365、Entra ID、Purview 与客户安全要求，帮助悉尼及澳洲企业先理解应做什么，再决定怎样落地。
ISO 27001 前的 Microsoft 365 安全提升
很多企业已有 Microsoft 365 授权，却不确定 Entra ID、MFA、条件式访问、管理员权限、端点与 Purview 的实际状态。有效的 uplift 不是一次性开启所有功能，而是先识别高风险身份、关键数据和业务依赖，再实施已同意的改善。
好的交付应包括：关键决定、已完成的设置、仍然存在的风险，以及日后可复核的证据。这样既有助于 ISO 27001 准备，也有助于回答客户安全问卷。
客户安全问卷、数据治理与中文沟通
新合同、投标或客户问卷通常会问 MFA、备份、数据分类、DLP、事件响应和供应商风险。与其逐题临时回答，更值得把问题还原为环境中的控制状态：信息如何分类、共享、保留和保护；谁有权限；发生问题时如何发现和处理。
普通话、粤语或英文沟通可以让管理层、IT 和客户对风险取舍有共同理解，但最终仍应落到可验证的政策、配置和行动责任。