ISO 27001 是什么
ISO/IEC 27001 规定信息安全管理体系（ISMS）的要求：组织需建立、实施、保持并持续改进体系，覆盖组织环境、领导作用、策划、支持、运行、绩效评价与改进。附录 A 提供控制项参考，组织按风险评估结果选择适用控制并形成适用性声明。
基本要素
| 体系要素 | ISMS 范围与边界、信息安全方针、风险评估与处置、适用性声明 |
|---|---|
| 附录 A 控制 | 2022 版按组织、人员、物理、技术四类组织控制项 |
| 认证方式 | 第三方审核：初次认证分两阶段，之后每年监督审核，证书通常三年一周期 |
| 核心动作 | 风险评估决定控制选择，运行证据决定能否通过审核 |
典型使用场景
- 投标或客户尽调要求提供信息安全体系证明
- 出海或跨境业务需要向合作方说明数据保护管理能力
- 内部安全管理散乱：用体系框架统一制度、责任与记录
- 年度监督审核前自查：核查控制是否仍在运行并留有证据
- 与等保、行业监管要求叠加时做要求映射，避免重复建设
建设路径示例
建设路径示例
1 界定 ISMS 范围：覆盖哪些业务、系统与场所
2 风险评估：识别资产、威胁与脆弱性，确定风险等级
3 编制适用性声明：说明选择与不选择某项控制的理由
4 落地控制与文件：制度、流程、技术措施与记录表单
5 内审与管理评审：发现问题并形成改进项
6 认证审核 → 监督审核 → 持续改进
# 文件不是目的，运行证据才是审核关注点PDCA 各阶段重点
| 阶段 | 主要活动 | 产出 |
|---|---|---|
| 策划 | 风险评估、目标设定、控制选择 | 风险清单、适用性声明 |
| 实施 | 控制落地、培训与意识 | 制度文件、培训记录 |
| 检查 | 内审、监控与测量 | 内审报告、指标数据 |
| 改进 | 纠正措施、管理评审 | 改进项与跟踪记录 |
重认证轻运行是常见问题：拿证后体系停摆，年度监督审核前突击补齐记录，风险实际仍未被管理。