一、基础资质文件

1. 营业执照
2. 组织架构图、部门职责说明
3. 业务范围说明（用于确定认证范围）
4. 涉及信息系统 / 机房 / 网络 / 数据的说明
5. 相关资质（如等保、涉密、ICP 等，有就提供）

二、体系文件类

1. 信息安全管理手册
2. 程序文件（必备如下）
   • 文件控制程序
   • 记录控制程序
   • 内部审核程序
   • 管理评审程序
   • 纠正 / 预防措施控制程序
   • 风险评估与风险处置程序
   • 人力资源安全管理程序
   • 访问控制程序
   • 信息加密管理程序
   • 事件管理 / 应急响应程序
   • 业务连续性程序
   • 第三方 / 供应商安全管理程序
   • 物理安全与环境安全程序
   • 备份与恢复程序
   • 日志与审计程序
    
3. 作业指导书、制度、表单模板

三、核心风险与控制文件

1. 信息资产清单 & 资产分级表
2. 风险评估报告
3. 风险处理计划
4. 适用性声明 SoA（Statement of Applicability）
5. 控制措施实施证据

四、运行记录（至少 3 个月）

1. 人员安全
   • 入职 / 离职 / 调岗安全记录
   • 保密协议
   • 信息安全培训记录、签到、试卷
    
2. 物理与环境安全
   • 机房出入登记
   • 监控、门禁、消防、巡检记录
    
3. 访问控制
   • 账号开通 / 变更 / 注销记录
   • 权限评审记录
   • 口令策略执行记录
    
4. 运维与技术安全
   • 漏洞扫描 / 渗透测试报告
   • 补丁更新记录
   • 防病毒、防火墙策略
   • 数据备份与恢复测试记录
   • 系统日志、审计日志
    
5. 第三方安全
   • 供应商清单
   • 供应商安全评估 / 合同 / 协议
    
6. 事件与应急
   • 安全事件台账、处理报告
   • 应急演练记录
    

五、审核必备材料

1. 内部审核资料
   • 内审计划
   • 内审检查表
   • 内审报告
   • 不符合项及整改证据
    
2. 管理评审资料
   • 管理评审计划
   • 管理评审输入材料（各部门报告）
   • 管理评审报告
   • 改进决议与落实记录
    

六、认证申请材料

1. 认证申请书
2. 认证范围确认表
3. 体系运行时间声明（≥3 个月）
4. 守法声明 / 无重大事故声明