ISO/IEC 27001 信息安全管理体系（ISMS）

信息存放在哪里、谁能访问、委外后如何管理，以及事件发生时由谁响应，都是信息安全的日常课题。本页整理 ISO/IEC 27001:2022 修订重点与实务解析，帮助企业串联风险处置、控制措施和执行证据。

讨论信息安全管理需求

一、修订概览与现行版本

**现行依据为 ISO/IEC 27001:2022 及 Amd 1:2024。**2022 版取代 2013 版，延续第 4 至第 10 章管理体系架构与风险导向方法；主要调整包括附录 A 控制重组，以及变更规划、流程互动和管理评审等要求。2013 版已有风险管理与领导责任，不应描述为只提供静态防护。ISO 官方目录

ISO/IEC 27001 规定 ISMS 要求；ISO/IEC 27002:2022 提供信息安全控制实施指引。体系可与其他管理系统整合，但通过信息安全认证不代表所有系统没有漏洞，也不会自动证明符合全部个人信息或网络安全法规。

2024 年气候修正

第 4.1 条要求判定气候变化是否为相关议题；第 4.2 条的注释提醒，相关利害关系人可能提出气候要求。企业可评估高温、淹水、供电和备用场址等情境，在相关时衔接风险处置；不能据此一概推论必须进行碳盘查，或对每种气候情境采取相同控制。

2013 版转换期已经结束

依 IAF MD 26:2023，既有获认可的 2013 版认证组织须在 2025 年 10 月 31 日前完成转版。该历史转换期已结束，未完成转换的旧版证书不能继续视为有效的获认可认证。仍使用旧制度的组织，应依现行要求改善，并向受理认证的机构确认适用申请程序，不能再沿用已结束的过渡安排。IAF 正式转换要求

核对日期：2026 年 9 月 29 日。本页依据公开官方资料和专业机构指南整理，未取得付费标准全文；不取代正式标准或逐条符合性判断。

二、2013 版至 2022 版的主要修订

• **主体条款：**新增 6.3 变更规划，并厘清流程及互动、职责沟通、目标监督和管理评审等要求。
• **控制架构：**附录 A 从 14 个领域、114 项控制，重整为四大主题、93 项控制。数量减少不代表可直接删除原有措施，应核对新版对应关系和风险需求。
• **新增控制：**11 项新增控制涵盖威胁情报、云端服务、营运持续所需 ICT 准备、数据保护等，完整清单见下表。
• **属性：**ISO/IEC 27002:2022 提供属性分类方式，可从控制类型、信息安全特性等角度检视措施；这不是 ISO/IEC 27001 强制新增的 SoA 栏位。
• **文件与证据：**SoA、风险处置及控制执行情况应保持一致。可更新现有文件和对照资料，不必默认所有内容都要从头重写。

属性与指引定位参考：BSI ISO/IEC 27002 修订说明。

附录 A 的四大主题

正确的 11 项新增控制

下表的中文名称仅供阅读参考，正式名称和要求以标准文本为准。

供应链和远程工作在旧版已有控制基础；“AI 系统安全”不是这 11 项中的独立控制。企业使用 AI 时，仍应依信息风险评估适当措施。新增控制及主题变化参考：NQA 修订差距指南。

三、第 4 至第 10 章要求与实务解析

4. 组织环境

识别影响 ISMS 预期结果的内外部议题、相关利害关系人及其要求，并确定哪些由 ISMS 管理。法规和合同应依据所在地、数据及业务情境识别，不能不加区分地套用所有地区的法律。

范围应清楚说明服务、场所、系统及内外部依赖；不能藉缩小边界掩盖范围内服务对共享系统的依赖。第 4.4 条明确必要流程及其互动，具体流程准则和执行控制则衔接第 8.1 条。

**实务建议：**沿着一项服务的数据取得、处理、传输和保存流程，检查人员、云端及外包接口是否纳入风险考量，并保留气候相关性判断的依据。

5. 领导力

最高管理层应展现承诺，确保方针和目标与组织方向一致，提供资源，并明确职责与权限。2022 版更清楚地要求在组织内沟通角色和职责。

领导责任并非本次新增，也不应把“取消强制管理代表”说成 2013 至 2022 年的核心差异。组织可以根据需要设置信息安全负责人、团队和协调窗口。

**实务建议：**重大风险应有明确负责人、资源和追踪方式，让管理层掌握处置进度及剩余风险。

6. 规划

**6.1 风险与机会：**建立一致的信息安全风险评估准则，评估机密性、完整性和可用性风险，选择处置方式及必要控制，并由风险负责人适当核准处置计划和剩余风险。

**6.2 信息安全目标：**在可行时量化目标，监督进度，安排责任、资源、期限和成果评估方式。零信任或监控工具可以是措施选项，但不是标准指定每家企业都必须采用的技术。

**6.3 变更规划：**需要变更 ISMS 时应以规划方式执行。云端迁移、新服务或组织改组可作为检视情境；事前评估、核准、回退和事后确认属于可用的实务安排，不能将一整套固定流程说成 6.3 的逐字要求。

如何使用适用性声明（SoA）？

SoA 源自 6.1.3 风险处置规划，不是到了第 8.3 条才建立。它应包含必要控制、纳入理由、实施状态，以及排除附录 A 控制的理由。

先根据风险处置决定必要控制，再与附录 A 比对以避免遗漏；控制也可来自其他来源或由组织自行设计。因此，不能将 93 项全部照抄，也不能随意挑选。法律、合同及其他相关要求同样应纳入判断。

更新时可保留仍适用的内容，并加入新版对照、差距和实施状态，不必一律重写整份文件。第 4 至第 10 章的管理体系要求，不能套用 SoA 控制筛选逻辑随意排除。

7. 支持

提供资源，确认影响 ISMS 的人员具备能力并了解相关要求，规划沟通及文件化信息。外包或供应商人员的培训、告知和能力确认，应根据实际工作与控制关系安排，不预设所有人员接受相同课程。

**实务建议：**保留方针、风险评估、SoA、处置计划及必要执行记录。版本、访问权限和保存方式应支持追溯；文件页数不是有效性的判断标准。

8. 运行

• **8.1 运行规划与控制：**建立流程准则，依准则控制执行、变更，以及相关外部提供的流程、产品或服务。
• **8.2 信息安全风险评估：**按规划间隔评估，或在提出、发生重大变更时评估，并保留结果。
• **8.3 信息安全风险处置：**执行已规划的风险处置并保留结果，核对 SoA 与实际控制是否一致。

**实务建议：**抽查离职停权、云端设定、备份还原或供应商访问，确认实际执行与风险表中的安排相符。

9. 绩效评估

监测和评估 ISMS 与相关控制的有效性；内部审核应适当规划，并具备能力和客观性。管理评审包括 9.3.1 一般要求、9.3.2 输入及 9.3.3 结果，也需考虑相关利害关系人需求与期望的变化。

**实务建议：**漏洞修复时效、风险处置逾期情况及还原测试等，可依管理目标设置指标。事件数量增加可能反映侦测改善，应结合严重程度和背景解读。

10. 改善

2022 版以 10.1 持续改善和 10.2 不符合与纠正措施安排要求。针对不符合分析原因、采取措施并确认有效性；信息安全事件依事件管理程序评估和响应，但并非每件事件都会自动构成管理体系不符合。

**实务建议：**利用事件分析、审核和控制评估结果改善流程，确认是否存在类似问题，以及风险是否需要更新。

四、企业导入与制度更新六步骤

以下适用于新导入或改善现有制度；2013 版的历史转换期已经结束。

步骤 1：差距分析

依据现行标准及气候修正，检查流程互动、变更、管理评审、附录 A 对照与 SoA，列出控制和证据缺口、负责人及期限。

步骤 2：跨部门规划

纳入管理层、信息安全、IT、业务、采购和法务等相关单位，安排资源、培训、文件调整、技术改善、内部审核及管理评审。

步骤 3：分层培训

• 管理层：风险决策、资源配置与治理责任。
• 内部审核员：现行条款、控制适用性和证据判读。
• 相关人员：根据工作需要安排云端、变更、远程作业和事件报告等培训。

步骤 4：更新必要文件与控制

修订风险评估、处置计划及 SoA，保留仍适用的现有内容；根据差距调整操作和技术措施，不预设所有文件必须重写或必须采购新工具。

步骤 5：执行、内审与管理评审

积累足以评估有效性的记录，完成内部审核、改善和管理评审。确认 SoA 实施状态与现场证据一致，并处理剩余风险和资源缺口。

步骤 6：确认认证程序

新申请依受理机构的初次认证程序办理；已有 2022 版证书的组织依监督或再认证安排接受评估。机构完成审核和认证决定后才会核发证书，辅导与文件编制不保证通过。

五、常见误区

只更新附录 A 和 SoA 就够了吗？

还应检查主体条款、流程互动、变更及管理评审，并确认新增或调整措施已经实际运行。

93 项控制必须全部实施，还是可以任意排除？

根据风险和相关要求确定必要控制，完整比对附录 A，并在 SoA 说明纳入或排除理由及实施状态。

信息安全只是 IT 部门的工作吗？

领导责任仍然适用。信息使用、合同、人员异动及资源决策涉及多个单位，应明确分工。

供应商签署保密协议就完成管理了吗？

应依据风险和适用控制检视访问权限、服务要求、变更、监督及退出安排。保密条款只是可能采用的措施之一。

可以忽略气候修正吗？

仍须判断相关性；相关时评估机房、供电和备用方案等风险。不能只加一句方针，也不必无条件套用所有气候措施。

服务范围与需求咨询

凯腾可依需求讨论信息风险、SoA、日常控制、培训、内部审核及外部审核准备。实际服务范围、费用及专业分工在确认需求后约定。漏洞扫描、渗透测试、设备采购和工程修复另行讨论；认证由受理申请的独立机构决定。

初次讨论可准备服务和系统范围、信息流、现有风险表及控制资料目录，并以去标识化样本说明事件与作业问题。

• ISO/IEC 27017 云端信息安全控制
• ISO/IEC 27701 隐私信息管理体系
• ISO 管理体系企业内训
• 联系凯腾讨论需求