层级与示例
| 层级 | 示例文件 | 作用 |
|---|---|---|
| 一层：方针 | 信息安全方针 | 管理层承诺与总体方向 |
| 二层：手册 | ISMS 手册 | 范围、组织、体系要素与相互关系 |
| 三层：程序/制度 | 访问控制、变更、事件、供应商管理制度 | 规定流程与职责 |
| 四层：记录 | 账户清单、变更单、演练报告、日志审阅记录 | 执行证据 |
体系文件层级：方针、手册、程序与记录
ISMS 文件通常分四层：方针（方向）、手册（体系框架）、程序/制度（流程要求）、记录（执行证据）；文件数量服从实用性，审核关注执行痕迹。
易错点
- 文件越多越好：维护成本高且审核关注有效性而非数量
- 有制度无记录：记录缺失等于体系未运行
数据来源与参考
- ISO/IEC 27001:2022（文件化信息要求）