根據參考文字，提供ISO 27001認證的三個階段及每個階段的活動的專案列表。
SO/IEC 27001是一項國際標準，用於管理資訊保安。該標準最初由國際標準化組織（ISO）和國際電工委員會（IEC）於2005年聯合釋出，2013年進行了修訂，最近在2022年進行了修訂。此外，還有許多被認可的國家變體標準。它詳細說明瞭建立、實施、維護和持續改進資訊保安管理體系（ISMS）的要求，其目的是幫助組織更加安全地保護其擁有的資訊資產。符合標準要求的組織可以選擇在稽核成功完成後由認可的認證機構進行認證。2020年進行了一項大規模研究，評估了ISO/IEC 27001認證過程的有效性和整體標準。

標準的工作原理
大多陣列織都有許多資訊保安控制措施。然而，如果沒有資訊保安管理體系（ISMS），這些控制措施往往會有些雜亂無章，實施時往往是作為特定情況的點解決方案或僅僅是慣例。通常，操作中的安全控制措施僅涉及資訊科技（IT）或資料安全的某些方面，使得非IT資訊資產（如檔案和專有知識）整體上受到的保護較少。此外，業務連續性規劃和物理安全可能會被獨立於IT或資訊保安進行管理，而人力資源實踐可能很少涉及定義和分配整個組織的資訊保安角色和責任的需要。

ISO/IEC 27001要求管理層：

系統地審查組織的資訊保安風險，考慮威脅、漏洞和影響；
設計和實施一套連貫和全面的資訊保安控制措施和/或其他形式的風險處理（如風險避免或風險轉移），以解決那些被認為是不可接受的風險；並
採用一個總體管理過程，以確保資訊保安控制措施在持續滿足組織的資訊保安需求。
ISO/IEC 27001認證過程中將測試哪些控制措施取決於認證稽核員。這可以包括組織認為在ISMS範圍內的任何控制措施，此測試的深度或範圍由稽核員根據需要進行評估，以測試控制措施是否已實施並有效執行。

管理確定ISMS的認證範圍，並可能將其限制為單個業務單位或位置。ISO/IEC 27001證書並不一定意味著範圍之外的組織在資訊保安管理方面具有足夠的方法。

ISO/IEC 27000系列標準中的其他標準提供了有關設計、實施和運營ISMS的某些方面的額外指導，例如有關資訊保安風險管理（ISO/IEC 27005）的指導。

ISO/IEC 27001的歷史
BS 7799是BSI Group於1995年最初發布的標準。它由英國政府的貿易和工業部（DTI）編寫，包括幾個部分。

第一部分包含資訊保安管理的最佳實踐，於1998年進行了修訂；經過全球標準機構的長時間討論後，最終被ISO採用為ISO/IEC 17799，「資訊科技-資訊保安管理實踐準則。」於2000年。 ISO/IEC 17799於2005年6月進行了修訂，並最終作為ISO/IEC 27002納入了ISO 27000系列標準中，於2007年7月釋出。

BS7799的第二部分最初由BSI於1999年釋出，名為BS 7799第2部分，標題為「資訊保安管理體系-規範及使用指南。」 BS 7799-2側重於如何實施資訊保安管理體系（ISMS），涉及在BS 7799-2中確定的資訊保安管理結構和控制。這後來成為ISO/IEC 27001:2005。BS 7799第2部分於2005年11月被ISO採用為ISO/IEC 27001。

BS 7799第3部分於2005年釋出，涵蓋風險分析和管理。它與ISO/IEC 27001:2005相一致。

與ISO/IEC 27001相關的BS標準很少被引用或使用。

認證
ISMS可以透過全球多個認可序號產生器構之一獲得符合ISO/IEC 27001標準的認證。由認可的認證機構對ISO/IEC 27001的任何被認可的國家變體（例如日本版的JIS Q 27001）進行認證，在功能上等同於對ISO/IEC 27001本身進行認證。

在一些國家，驗證管理系統符合指定標準的機構被稱為「認證機構」，而在其他國家，它們通常被稱為「序號產生器構」、「評估和序號產生器構」、「認證/序號產生器構」，有時也被稱為「序號產生器構」。

ISO/IEC 27001認證，像其他ISO管理體系認證一樣，通常涉及由ISO/IEC 17021和ISO/IEC 27006標準定義的三階段外部稽核過程：

第1階段是ISMS的初步非正式審查。例如，檢查關鍵檔案的存在和完整性，例如組織的資訊保安政策、適用宣告（SoA）和風險處理計劃（RTP）。此階段旨在使稽核員熟悉組織，反之亦然。
第2階段是更詳細和正式的合規性稽核，獨立地測試ISMS是否符合ISO/IEC 27001中規定的要求。稽核員將尋求證據以確認管理體系已經被正確設計和實施，並且實際上正在執行（例如透過確認安全委員會或類似的管理機構定期會議監督ISMS）。認證稽核通常由ISO/IEC 27001首席稽核員進行。透過此階段，ISMS將被認證符合ISO/IEC 27001的要求。
持續進行跟蹤稽核或審計，以確認組織仍然符合標準。認證維護需要定期重新評估稽核，以確認ISMS繼續按照指定和預期的方式執行。這些稽核應該每年至少進行一次，但（經過管理同意）通常會更頻繁地進行，特別是在ISMS仍在成熟階段時。
以下是ISO 27001認證的三個階段：
1. 第 1 階段：對資訊保安管理體系進行初步、非正式審查。活動包括檢查主要文件的存在性和完整性。
2. 第 2 階段：由第三方進行詳細且正式的審核，以驗證 ISO 27001 中規定的要求的充分實施
3. 持續：後續審查和審計，以確認持續符合 ISO 27001 的要求。