软件被恶意攻击索赔？ISO 27001能免责吗

  “我们通过了ISO 27001认证，这次数据泄露不是我们的责任吧？”
  这是某软件公司被客户索赔后，老板问出的D一句话。答案可能让他失望：ISO 27001不能免责。不仅不能免责，在某些情况下，持证反而可能成为监管追责的依据。

  一、为什么证书不是“免罚金pai”？

  ISO 27001是企业自愿采用的管理标准，不具备法律豁免效力。一旦企业将其写入合同承诺或对外宣传中，它就构成了事实上的“合规承诺”——出了问题，监管会用这把尺子量你。
  几个真实案例值得警惕：
  某金融科技公司：持有ISO 27001证书三年，因客户数据泄露被罚48万元。调查发现：近一年未开展管理评审，风险处置记录缺失7次关键事件。
  某医疗SaaS服务商：刚通过复评，却被发现系统日志显示患者数据被超权限访问。核心问题：访问控制策略写得漂亮，实际配置却沿用默认设置。

  这些案例说明：罚的不是“没认证”，而是“认证后放任体系空转”。

  二、监管到底在看什么？

  监管机构进门D一句话往往是：“请调出最近一次内审的不符合项整改闭环证据。”
  他们想验证的是三件事：
  体系是否真实运行：有没有持续的运行记录？内审有没有真正发现问题？
  风险是否闭环处置：发现漏洞后有没有跟踪整改？整改证据是否完整？
  事件响应是否及时：攻击发生后，有没有按标准流程上报和处置？

  三、真正能免责的是什么？

  ISO 27001的真正价值不是“免责”，而是“证明你尽力了”。在监管或法律追责中，能够证明以下三点的企业，才有可能减轻责任：
  1. 体系真实运行
  能提供持续的运行证据——风险评估记录、内审报告、管理评审记录、整改闭环证据。不是“为审核准备的”，而是日常积累的。
  2. 事件响应到位
  攻击发生后，按标准流程快速响应：及时通报、调查原因、控制损失、追溯证据。这些动作都有记录。
  3. 持续改进有据
  每次事件后都做根本原因分析，制定纠正措施，并跟踪验证有效性。让监管看到“你在学习、在变好”。
  ISO 27001不是保险单，买了就不用赔。它是一套需要每天校准、每月验证的安全管理系统。
  真正让企业在被攻击后站得住脚的，不是墙上那张证书，而是贯穿日常的每一个记录、每一次整改、每一份闭环报告。证后管理，才是真正的“hu身符”。