2026 年 9 月，猩火无限（济南）科技有限公司正式通过 ISO/IEC 27001 信息安全管理体系认证，认证范围为"企业数据中台、工业物联网平台的软件开发与运维服务"。证书由具备 CNAS 认可资质的认证机构签发，有效期三年，期间每年接受一次监督审核。
为什么现在做这件事
过去两年，我们承接的项目从"交付一套系统"逐步变为"长期托管客户的生产数据"。这意味着我们不只是写代码的一方，还承担着数据保管者的责任。客户在招标与年度审计中，越来越频繁地要求供应商提供信息安全管理体系证明。
比应标更实际的原因是内部管理。公司规模到 120 人、同时并行 30 余个项目时，靠个人经验和口头约定管理权限与变更，风险已经不可控。体系认证提供了一个外部可验证的框架，逼着我们把已有的做法写成制度并留下记录。
认证覆盖了什么
项目从 2025 年底启动，历时约 9 个月，分为体系建设、试运行、内部审核与管理评审、两阶段外部审核四个环节。最终纳入体系的控制措施重点包括：
- 资产与数据分级：客户数据按公开、内部、敏感、核心四级分类，不同级别对应不同的存储位置、加密要求与审批流程。
- 访问控制：生产环境访问实行最小权限与双人审批，所有运维操作经由堡垒机录屏留痕，季度复核账号权限。
- 开发与变更管理：代码合并需通过同行评审，上线前完成安全扫描与回滚预案评审，变更记录与工单关联。
- 供应链安全：对云资源、短信、地图等外部服务商进行年度安全评估，明确数据处理边界与违约责任。
- 事件响应：定义四级安全事件分级与响应时限，每半年组织一次演练，演练结果纳入管理评审。
- 人员与意识：全员年度信息安全培训与考核，离职人员权限当日回收，关键岗位签署保密协议。
审核中暴露的问题
体系建设的价值往往体现在被指出的问题上。第一阶段审核中，审核员提出两项主要不符合：一是部分项目的测试数据取自生产环境且未做脱敏；二是备份恢复演练记录只有结果，缺少失败场景的处理过程。这两项在 6 周内完成整改：测试环境统一使用脱敏数据生成工具，备份演练改为包含"恢复失败后降级方案"的完整脚本，并留存演练录像。
认证不是终点，它只是证明我们有一套能被检查的做法。真正的考验是每个项目都按这套做法执行。
对客户意味着什么
对于正在选型的客户，这份证书可以作为供应商安全能力的参考依据之一，但不能替代您自身的评估。我们建议客户在合同中明确数据归属、删除时限与审计权，并在项目启动时完成一次安全交底。我们可以提供体系文件目录、适用性声明（SoA）摘要与最近一次内审报告摘要，供客户的合规与信息安全团队查阅。
如需相关材料，请通过 联系表单 说明用途与主体单位，我们会在 2 个工作日内回复。已合作的客户可直接联系项目经理获取脱敏版本。
相关阅读
了解我们在数据治理与安全方面的具体做法：星火云枢 · 企业数据中台、星火迁移 · 云上迁移服务。