正文与附件的关系
ISO/IEC 27001:2022 的正文按管理体系通用结构组织，即第 4 至第 10 章；附件 A 则是控制措施集合。审核先查正文：范围怎么定的、领导层参与了吗、风险怎么评的、目标和措施是否对应、内审和管理评审做了没有。附件 A 的控制措施是实现手段，因此只做附件 A 而正文条款落空，通常过不了审核。
基本信息
| 版本 | ISO/IEC 27001:2022 |
|---|
| 正文结构 | 第 4-10 章，管理体系通用结构 |
|---|
| 附件 A | 93 项控制措施，分为组织、人员、物理、技术四类 |
|---|
| 配套文件 | ISO/IEC 27002:2022 提供实施指南 |
|---|
| 审核顺序 | 先查正文落实，再抽样控制措施 |
|---|
典型使用场景
- 体系建设：按正文条款搭骨架，再对照附件 A 选控制
- 内部审核：检查表按条款编号组织，覆盖正文与控制
- 管理评审：把内审结果与风险变化作为输入
- 认证审核准备：确认内审与管理评审已完成且覆盖全范围
- 文件治理：把制度与记录对应到条款编号便于索引
章节要点
| 章节 | 关键动作 |
|---|
| 4 组织环境 | 理解内外部因素与相关方要求，确定体系范围 |
| 5 领导作用 | 方针、角色职责与权限，管理层参与 |
| 6 策划 | 风险与机会、目标及其实现计划 |
| 7 支持 | 资源、能力、意识、沟通与文件化信息 |
| 8 运行 | 按策划实施控制并管理外包与变更 |
| 9 绩效评价 | 监视测量、内部审核、管理评审 |
| 10 改进 | 不符合与纠正措施、持续改进 |
附件 A 四类控制
| 类别 | 控制数量 | 关注方向 |
|---|
| 组织控制 | 37 项 | 方针、职责、供应商与事件管理 |
| 人员控制 | 8 项 | 入职、培训、离职与保密 |
| 物理控制 | 14 项 | 区域、设备与介质保护 |
| 技术控制 | 34 项 | 访问、加密、日志与开发安全 |
四类控制的编号为 A.5 组织、A.6 人员、A.7 物理、A.8 技术；做适用性声明与抽样检查时按编号组织，最容易与审核员对齐索引。
