制度体系的搭建思路
制度体系通常按总纲、专项、操作三个层次搭建：总纲定方针与组织，专项覆盖各管理域，操作层给出流程与表单。这样分层的好处是职责与流程清晰，检查时也好索引。最常见的失败模式是制度与实际流程脱节——执行部门没有参与编写，制度写完后没人按它办事，检查一问流程细节就对不上。
基本信息
| 层次结构 | 总纲（方针与组织）→ 专项（各管理域）→ 操作（流程与表单） |
|---|---|
| 覆盖主题 | 账号权限、日志审计、变更、备份、应急、供应链、数据与个人信息、密码 |
| 评审要求 | 年度评审与修订并留记录 |
| 编写要求 | 执行部门参与编写，避免制度与流程脱节 |
| 依据 | GB/T 22239-2019 管理制度要求、ISO/IEC 27001:2022 |
典型使用场景
- 体系搭建：先定总纲与组织，再逐域补专项制度
- 迎检索引：把制度按管理域编号，便于对应检查项
- 年度评审：集中修订与实际流程不符的条款
- 新规落地：把新增义务挂到对应专项制度上
- 培训宣贯：用制度清单作为培训大纲
制度清单（参考）
制度清单（参考）
1 信息安全总纲与方针
2 组织与职责管理
3 人员安全（入职、离岗、培训）
4 资产管理
5 账号与权限管理
6 日志与审计管理
7 变更与发布管理
8 备份与恢复管理
9 安全事件与应急管理
10 供应链与外包安全管理
11 数据分类分级管理
12 个人信息保护管理
13 密码与密钥管理
14 终端与移动介质管理
15 检查与考核（内审、合规检查）层次与要点
| 层次 | 内容 | 审批层级 |
|---|---|---|
| 总纲 | 方针、组织、职责与授权 | 管理层审批发布 |
| 专项 | 各管理域的要求与流程 | 分管负责人审批 |
| 操作 | 作业指导书与表单模板 | 部门负责人审批 |
制度数量不是重点：检查更关注制度是否被执行。建议每份制度都标注对应的记录或表单，形成「制度—记录」的对应关系，取证时效率最高。