ISO27001认证的审核标准：
A.信息安全方针和目标：
1.审核组织是否制定了明确的信息安全方针，并将其传达给所有员工和外部相关方。
2.检查组织是否设定了具体的信息安全目标，如信息泄露事件的控制、业务中断时间的限制等。
B.信息安全管理体系文件：
1.验证组织的信息安全管理体系文件是否完整、一致，并符合ISO/IEC27001标准的要求。
2.审查体系文件是否包括风险评估报告、安全政策、控制程序、记录控制程序等内容。
C.风险评估和处理：
1.评估组织是否进行了全面的信息安全风险评估，识别了潜在的信息安全威胁和漏洞。
2.检查组织是否采取了适当的风险处理措施，以降低风险发生的可能性和影响程度。
D.控制措施的实施和有效性：
1.审核组织是否按照信息安全管理体系的要求实施了各项控制措施，如访问控制、加密技术、备份和恢复等。
2.验证控制措施的实施是否有效，并能够满足组织的信息安全需求。
E.内部审核和管理评审：
1.检查组织是否定期进行内部审核和管理评审，以评估信息安全管理体系的有效性和符合性。
2.验证内部审核和管理评审的结果是否得到及时处理和改进。
F.合规性：
1.确保组织的信息安全管理体系符合适用的法律法规和合同义务。
2.验证组织是否采取了适当的措施来保持合规性。
G.持续改进：
1.评估组织是否建立了持续改进的机制，以不断优化信息安全管理体系。
2.检查组织是否对信息安全管理体系的改进进行了跟踪和验证。
ISO27001认证的难处主要体现在以下几个方面：
1.资源投入：ISO27001认证需要组织投入大量的人力、物力和财力资源来建立和完善信息安全管理体系。这对于一些中小企业来说可能是一个不小的挑战。
2.知识要求：实施ISO27001认证需要组织具备丰富的信息安全知识和经验。很多组织可能缺乏这方面的专业人才，导致在认证过程中遇到技术和管理上的难题。
3.管理变革：ISO27001认证要求组织对现有的信息安全管理体系进行全面的审查和改进，这可能会涉及到管理流程的变革和工作习惯的调整。这些变革可能会遇到员工的抵触和组织文化的阻力。
4.持续维护：获得ISO27001认证后，组织需要持续维护和改进信息安全管理体系以保持认证的有效性。这要求组织具备强大的自我监督和改进能力，否则可能会面临认证失效的风险。
5.法规变化：信息安全领域的法律法规和标准变化较快，组织需要及时关注并调整自身的体系和策略以适应新的要求。这对于一些组织来说可能是一个持续的挑战。