1、具备独立的法人资格或经独立的法人授权的组织；2、按照所申请体系标准的要求建立文件化的管理体系；
3、已经按照文件化的体系运行三个月以上，并在进行认证审核前按照文件的要求进行了至少一次管理评审和内部质量体系审核
法律、法规和合同的要求可以对具有所有权的材料的拷贝进行限制。特别是，这些限制可能要求只能使用组织自己开发的资料，或者开发者许可组织使用或提供给组织的资料。侵害可能导致法律行为，这可能涉及罚款和。18.1.3控制措施实施指南序。若选择了电子存储介质，应建立程序，以确保在整个保存周期内能够访问数据（介质和格式的可读性），以防范由于未来技术变化而造成的损失。应选择数据存储系统，使得所需要的数据能根据要满足的要求，在可接受的时间内、以可接受的格式检索出来。存储和处理系统应确保能按照国家或地区法律或法规的规定，清晰地标识出记录及其保存期限。该系统应允许在保存期后恰当地销毁记录，如果组织不需要这些记录的话。
ISO三体系认证目的
避免开发人员出现不安全的代码。代码审计环节：应尽可能使用代码扫描工具并结合人工代码审核，对产品代码进行白盒、黑盒扫描。应用渗透测试：应在上线前参照例如OWASP标准进行额外的渗透测试。系统发布：依据上述环节评价结果决定代码是否发布。而在ISO27001未覆盖的虚拟化安全领域，例如虚拟服务器的隔离、虚拟服务器及映像的加固、虚拟服务器的销毁，虽然以上需求因虚拟化服务器的服务类型已无法通过购买安全设备实现隔离，但针对用户和云服务商自身的安全需求仍可通过一系列的软件手段实现安全隔离和访问控制。针对不同用户购买的虚拟服务器之间的隔离需求，阿里云借助自主开发的后羿系统在虚拟服务器生产环节给每个虚拟服务器打上标签。在运营环节通过不同用户之间的虚拟服务器访问规则，和IP信息滤系统(iptables)技术实现虚拟服务器之间、虚拟服务器和其物理机之间隔离。例如针对虚拟服务器的安全加固，阿里云通过建立安全加固流程。