ISO 27001 是什么
ISO/IEC 27001 是信息安全管理体系（ISMS）要求标准，现行版本为 2022 版。它不规定具体技术手段，而是要求组织按自身风险建立、实施、保持并持续改进管理体系：确定范围与组织环境、由管理层确立方针、开展风险评估与处置、运行控制措施、进行监视测量与内审和管理评审、最后持续改进。它属自愿性国际标准，证书需经第三方认证机构审核颁发。
基本信息
| 现行版本 | ISO/IEC 27001:2022 |
|---|---|
| 对象 | 组织整体的信息安全管理体系（ISMS） |
| 性质 | 自愿性国际标准，认证需第三方审核 |
| 核心方法 | 基于风险的策划-运行-评价-改进循环 |
| 与国内关系 | 与等保、数据合规互补，不替代法定要求 |
| 证书周期 | 三年有效期，期间每年监督审核 |
典型使用场景
- 海外客户或招标要求提供体系认证证书
- 集团内部统一安全管理的语言与方法论
- 等保与 ISO 两套体系材料的整合与复用
- 年度内审与管理评审等例行工作
- 认证范围变更（新增场所、业务线）时的文件修订
ISMS 核心要素
ISMS 核心要素
# 组织环境与范围 → 领导作用与方针 → 风险与机会策划
# 支持与运行 → 绩效评价（监视、内审、管理评审）→ 持续改进
# 关键文件：适用性声明（SoA）、风险评估与处置记录
# 关键记录：内审报告、管理评审记录、不符合与纠正措施体系要素与证据
| 要素 | 要求 | 典型证据 |
|---|---|---|
| 范围与边界 | 明确组织单元、系统与场所 | 体系范围说明文件 |
| 风险评估 | 识别风险并确定处置方式 | 风险评估表与处置计划 |
| 适用性声明 | 控制项取舍需有理由 | SoA 文档 |
| 运行与监视 | 措施执行并留存记录 | 各类运行与监视记录 |
| 内审与评审 | 定期评价体系有效性 | 内审报告与管理评审记录 |
2022 版附录 A 的控制项由 114 项调整为 93 项，新增威胁情报、云服务使用、数据脱敏、事件管理等方向；改编体系文件时适用性声明要一并更新。
审核关注体系与实际运营的一致性：为拿证临时补文件、日常不执行，首次或年度监督审核阶段被开不符合项的概率很高。