ISO 27001 附件 A 是什么
ISO/IEC 27001:2022 的附件 A 列出 93 项控制措施，按组织（37 项）、人员（8 项）、物理（14 项）、技术（34 项）四个主题分组，作为组织建立信息安全管理体系时选择控制措施的参考集合。2022 版把 2013 版的 114 项控制整合为 93 项，并新增威胁情报、云服务使用、数据脱敏等控制。
基本信息
| 标准版本 | ISO/IEC 27001:2022 附件 A |
|---|---|
| 控制总数 | 93 项，分四个主题 |
| 适用声明 | 适用性声明（SoA）逐项说明适用性与理由 |
| 标准演进 | 2013 版为 114 项、14 个域；2022 版重整为 4 个主题 |
| 新增方向 | 威胁情报、云服务使用、数据脱敏、数据防泄露等 |
| 使用方式 | 结合风险评估结果选择控制并落地 |
典型使用场景
- 体系建立阶段编写适用性声明，逐项说明控制是否适用
- 审核准备时核对新增控制是否已纳入体系文件
- 云上业务审核前评估云服务使用与数据脱敏类控制的落实情况
- 把附件 A 控制与等保条款做映射，一套证据支撑两套体系
- 年度内审按主题分组抽样，检查控制运行的有效性
主题分布
| 主题 | 数量 | 示例控制 |
|---|---|---|
| 组织（Organizational） | 37 | 方针、角色职责、威胁情报、供应商关系 |
| 人员（People） | 8 | 任用前审查、意识培训、离职处理 |
| 物理（Physical） | 14 | 物理边界、监控、设备保护 |
| 技术（Technological） | 34 | 访问控制、密码、日志、数据脱敏 |
适用性声明填写要点
适用性声明填写要点
1 控制编号与名称：与标准正文保持一致
2 是否适用：适用 / 不适用，不适用需写理由
3 落地方式：对应制度、流程或技术措施
4 责任部门与证据位置：指向可核查的材料
5 评审记录：每次体系评审后更新结论2022 版较 2013 版新增控制含：威胁情报、云服务使用、ICT 业务连续性、物理安全监视、配置管理、信息删除、数据脱敏、数据防泄露、监视活动、Web 过滤、安全编码。
控制数量不必照抄：不适用项在 SoA 中说明理由即可，审核关注的是判断依据与整体逻辑是否自洽。