27002 是什么
ISO/IEC 27002 是信息安全控制的实施指南，不是认证标准：认证依据是 27001 的要求条款，27002 回答的是「这项控制该怎么做」。2022 版把控制重新组织为 4 个主题共 93 项，并为每项控制标注属性，便于按风险筛选控制集。它适合在方案设计与控制落地阶段查阅，而不是拿来逐条打勾。
基本信息
| 标准定位 | 实施指南（非认证依据，认证用 ISO/IEC 27001） |
|---|---|
| 版本结构 | 2022 版：4 个主题、93 项控制，废除 2013 版的 14 个域结构 |
| 属性维度 | 控制类型、信息安全属性、网络安全概念、运行能力、安全域 |
| 与前版关系 | 2013 版 114 项控制经合并与新增调整为 93 项，多数要求可对应到新版编号 |
| 配套使用 | 27001 定要求与范围，27002 选控制与设计实现，内部制度承载执行 |
每项控制的结构
每项控制的结构
控制标题与编号（如 8.24 密钥的使用）
控制目的：为什么做这项控制，想达成什么状态
控制属性：控制类型（预防性/侦测性/纠正性）
信息安全属性（保密性/完整性/可用性）
网络安全概念（识别/保护/检测/响应/恢复）
运行能力（治理、资产管理、身份与访问管理、事件管理等）
安全域（治理与生态系统/保护/防御/韧性）
实施指南：具体怎么落地，含参考实践与配置取向
其他信息：相关标准与延伸阅读
# 属性用于筛选：例如按「侦测性 + 检测」筛出监控类控制集，避免逐条翻目录2022 版四个主题
| 主题 | 控制数量 | 内容取向 |
|---|---|---|
| 组织控制 | 37 项 | 策略、角色与职责、资产管理、供应商、事件管理、合规等 |
| 人员控制 | 8 项 | 任用前审查、任用条款、意识培训、离职与变更、远程工作等 |
| 物理控制 | 14 项 | 物理进入控制、机房与办公区域保护、设备与介质处置等 |
| 技术控制 | 34 项 | 身份与访问、加密与密钥、日志与监控、漏洞与配置、数据脱敏与防泄露等 |
2022 版新增与变化的控制（部分）
- 5.7 威胁情报：把外部威胁信息纳入风险判断与检测能力建设
- 5.23 云服务使用中的信息安全：明确云服务的采购、使用与退出要求
- 7.4 物理安全监控：把视频监控作为独立的物理控制项
- 8.9 配置管理：强调配置基线与变更控制的落地
- 8.10 信息删除：要求介质处置之外，明确数据删除的场景与方式
- 8.11 数据脱敏与 8.12 数据防泄露：数据保护方向更细化
- 8.16 活动监控与 8.23 Web 过滤：把监控与上网行为控制单独立项
- 8.28 安全编码：把安全开发要求明确写进控制项
施工顺序建议：用 27001 确定要求与范围并形成适用性声明，用 27002 选取控制与设计实现方式，用内部制度与配置承载日常执行，最后用记录证明跑起来了。