| 要素 | ISMS 范围、方针、风险评估与处置、适用性声明 |
|---|---|
| 附件 A | 组织、人员、物理、技术四类控制（2022 版） |
| 认证 | 第三方审核：两阶段初次审核 + 年度监督审核 |
建设路径示例
建设路径示例
1. 界定 ISMS 范围与边界
2. 风险评估并编制适用性声明（SoA）
3. 实施控制与文件化
4. 内审与管理评审
5. 认证审核与持续改进ISO/IEC 27001 与 ISMS
ISO/IEC 27001 规定信息安全管理体系（ISMS）要求：建立、实施、维护并持续改进体系，覆盖组织环境、领导作用、策划、支持、运行、绩效评价与改进，附录 A 提供控制项参考。
易错点
- 重认证轻运行：拿证后体系停摆，年度监督审核再突击
- 风险清单多年不变：业务已变化，风险评估失真
数据来源与参考
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022 控制实践指南