体系文件为什么要分层
ISMS 文件的作用是让要求可传达、流程可执行、执行可留痕，因此习惯按四个层级组织：方针讲方向，手册讲体系框架，程序与制度讲流程要求，记录是执行证据。分层的意义在于改一处不必动全身——业务调整通常只改三层文件，方针与手册保持稳定。文件数量的标准是够用：审核关注的是体系是否有效运行，而不是文件有多厚。
层级与示例
| 层级 | 示例文件 | 作用 | 审核关注点 |
|---|---|---|---|
| 一层：方针 | 信息安全方针、总体目标 | 管理层承诺与总体方向 | 是否由最高管理者批准发布、是否与业务战略一致 |
| 二层：手册 | ISMS 手册、范围说明 | 范围、组织、体系要素与相互关系 | 范围边界是否清晰、有无排除项及理由 |
| 三层：程序/制度 | 访问控制、变更管理、事件管理、供应商管理制度 | 规定流程、职责与时限 | 流程是否可执行、职责是否落到岗位 |
| 四层：记录 | 账户清单、变更单、演练报告、日志审阅记录 | 执行证据 | 记录是否与实际一致、是否按期生成 |
文件编写与维护要点
- 一页原则：每份制度开头写清目的、适用范围、职责、流程、相关记录五项，避免写成散文
- 职责落到岗位：写「运维岗」「安全岗」而不是「相关部门」，否则执行时无人认领
- 时限可核验：把「及时」「尽快」换成具体天数或工作日，便于考核与审计
- 与记录配套：每份制度末尾列出它要求的记录清单，制度发布同时生成记录模板
- 版本与变更留痕：编号、版本号、生效日期、修订记录、审批人五项齐全
- 定期评审：年度评审触发一次全面复核，业务或监管变化时随时修订
- 作废处理：旧版标注作废并撤出使用场所，避免现场同时出现两个版本
文件控制信息示例
文件控制信息示例
编号：ISMS-P-03 版本：V2.1 生效日期：2026-04-01
修订记录：V2.0 增加第三方账号审批流程；V2.1 调整日志审阅频率为每月
审批：信息安全管理者代表签字 | 编写：安全岗 | 复核：内审岗
相关记录：账号申请单、权限复核表、日志审阅记录
评审周期：每年一次，或监管要求变化时即时修订ISO/IEC 27001:2022 用「文件化信息」的表述，不再逐条强制要求手册与程序文件；但企业落地时四层结构仍然通用，因为检查与审核需要一条从要求到证据的清晰路径。
常见缩水方式：制度写好了但没有表单，执行时随手在白纸上签字。表单本身就是记录，缺失会让整条流程在审核中无法自证。