ISO/IEC 27001 信息安全管理体系详解

一、标准简介

ISO/IEC 27001 是国际上最权威的信息安全管理体系（ISMS，Information Security Management System）标准，全称为《信息安全、网络安全和隐私保护——信息安全管理体系——要求》。它规定了企业建立、实施、运行、监视、评审、维护和持续改进信息安全管理体系的规范性要求，核心思想是把信息安全从"装防火墙、打补丁"的技术行为，上升为以风险管理为驱动的组织级管理体系，保障信息的保密性、完整性和可用性（CIA 三原则）。

适用范围极广：标准条文明示"适用于所有类型、规模和性质的组织"。它由 ISO 与 IEC 下属的联合技术委员会 ISO/IEC JTC 1/SC 27 制定维护。

与 ISO/IEC 27000 系列的关系：

• 27000：体系总览与术语（"词典"）；
• 27001：要求标准，是唯一可认证的；
• 27002：控制措施实施指南，不可认证，是 27001 落地的"操作手册"；
• 27005：信息安全风险管理指南；
• 27017：云服务安全指南、27018：云中个人身份信息保护；
• 27701：隐私信息管理体系扩展（PIMS）。

简单说：27001 是"骨架"（必须做什么），27002 是"肌肉"（具体怎么做）。

二、核心内容详解

1. 正文第 4–10 章要求要点

正文是强制性管理体系要求，认证时一条都不能豁免（与附录 A 的"按风险选用"不同）。

• 第 4 章 组织环境：识别内外部环境议题、相关方（客户、监管、员工等）的需求和期望，据此确定 ISMS 的边界和适用范围并形成文件。范围声明会直接写在证书上。
• 第 5 章 领导作用：最高管理者对体系有效性负总责；制定并批准信息安全方针；明确各层级信息安全职责与权限（可任命专职信息安全负责人）。
• 第 6 章 策划（核心）：
• 6.1.2 信息安全风险评估：必须建立并保持成文的风险评估流程，做到可重复、可比、结果有效。要求先定风险准则（含风险接受准则），再系统识别资产—威胁—脆弱性，评估可能性与影响。
• 6.1.3 信息安全风险处置：针对评估出的风险选择处置方式，制定风险处置计划；将选定的控制措施与附录 A 逐项比对，确保没有遗漏必要的控制——这一步的直接产出就是 SoA（适用性声明）；处置后评估残余风险，须经风险责任人正式接受。
• 6.2 设定可测量的信息安全目标并策划实现路径；6.3 变更策划。
• 第 7 章 支持：提供资源；保证人员能力（7.2）与安全意识（7.3）；内外部沟通机制；成文信息的创建、更新与控制（7.5）。
• 第 8 章 运行控制：8.1 按策划要求运行体系并控制变更；8.2 按 6.1.2 的流程实施风险评估；8.3 按 6.1.3 实施风险处置计划。即风险评估/处置不是一次性工作，而是运行阶段的持续活动。
• 第 9 章 绩效评价：9.1 监视、测量、分析和评价（定好监视什么、方法、频次）；9.2 按计划开展内部审核；9.3 最高管理者定期管理评审。
• 第 10 章 改进：对不符合采取纠正措施、消除根因；持续改进 ISMS 的适宜性、充分性和有效性。

2. 附录 A：93 项控制按 4 大主题展开

附录 A 是参考性控制目录（不是强制清单），每项控制还带 5 维属性标签：控制类型（预防/探测/纠正）、安全属性（保密/完整/可用）、网络安全概念（识别→恢复）、运营能力、安全域。

组织控制（A.5.1–5.37，共 37 项）——最大的一组，多为文档化工作：

• 方针与职责（5.1–5.4）：5.1 信息安全方针（体系的总纲领，所有控制的上位依据）；5.2 信息安全角色与职责；5.3 职责分离（关键岗位不相容职责分离，防单人作恶）；5.4 管理层职责。
• 外部联络（5.5–5.6）：5.5 与监管/执法机构保持联系；5.6 与专业组织、行业论坛保持联系。
• 威胁与项目（5.7–5.8）：5.7 威胁情报（新增）；5.8 项目管理中的信息安全（新项目立项即纳入安全要求）。
• 资产管理（5.9–5.14）：5.9 信息及相关资产清单（风险评估的基础输入）；5.10 资产可接受使用；5.11 资产归还；5.12 信息分类（按密级）；5.13 信息标记；5.14 信息传输（邮件、介质、口头传递的保护规则）。
• 访问控制管理（5.15–5.18）：5.15 访问控制（总策略）；5.16 身份管理；5.17 鉴别信息（口令等的管理）；5.18 访问权限（最小权限、定期评审、离职即回收）。
• 供应商关系（5.19–5.23）：5.19 供应商关系中的信息安全；5.20 供应商协议中的安全要求；5.21 ICT 供应链安全管理；5.22 供应商服务的监视、评审与变更管理；5.23 云服务使用的信息安全（新增：明确云上责任共担、数据传输/留存/删除要求）。
• 事件管理（5.24–5.28）：5.24 事件管理规划与准备；5.25 安全事件的评估与决策（分级）；5.26 安全事件响应；5.27 从事件中学习（复盘改进）；5.28 证据收集（保证取证的法律有效性）。
• 连续性（5.29–5.30）：5.29 业务中断期间的信息安全；5.30 ICT 业务连续性准备（新增：把业务影响分析转化为 ICT 连续性策略）。
• 合规（5.31–5.34）：5.31 法律法规与合同要求识别；5.32 知识产权保护；5.33 记录保护（防丢失篡改、满足举证）；5.34 隐私与个人身份信息保护。
• 评审与文档（5.35–5.37）：5.35 信息安全独立评审；5.36 遵守方针、规则和标准的符合性；5.37 成文的操作规程。

人员控制（A.6.1–6.8，共 8 项）：6.1 人员筛查（入职前背景审查，按岗位敏感度分级）；6.2 雇佣条款（合同中明确安全责任）；6.3 安全意识、教育与培训（全员+关键岗位专项）；6.4 违纪处理流程；6.5 雇佣终止或变更后的职责（权限回收、资产归还、保密义务延续）；6.6 保密/竞业协议；6.7 远程办公（家用网络、设备、私人设备 BYOD 规则）；6.8 安全事件报告（鼓励上报可疑事件，不得打击报复）。

物理控制（A.7.1–7.14，共 14 项）：7.1 物理安全边界（围墙、门禁分区）；7.2 物理入口控制；7.3 办公室、房间和设施的保护；7.4 物理安全监控（新增：防篡改的监控系统，兼顾隐私合规）；7.5 防范物理与环境威胁（火灾、水灾、断电）；7.6 在安全区域工作；7.7 清空桌面与清空屏幕；7.8 设备安置与保护；7.9 场所外资产安全（出差、居家设备）；7.10 存储介质管理；7.11 配套设施（电力、空调）；7.12 布线安全；7.13 设备维护；7.14 设备的安全处置或再利用（报废硬盘消磁/粉碎）。

技术控制（A.8.1–8.34，共 34 项）：

• 终端与身份（8.1–8.5）：8.1 用户终端设备（笔记本/手机的加密、配置基线）；8.2 特权访问权限（管理员账号最小化、定期评审）；8.3 信息访问限制；8.4 源代码访问控制；8.5 安全认证（按敏感度采用 MFA、口令策略、会话管理）。
• 系统运维（8.6–8.12）：8.6 容量管理；8.7 恶意软件防护；8.8 技术脆弱性管理（漏洞扫描、渗透测试、补丁）；8.9 配置管理（新增：安全配置基线+偏离监控）；8.10 信息删除（新增：按保留期限安全删除）；8.11 数据脱敏（新增：假名化、匿名化）；8.12 数据防泄漏（新增：DLP，按密级监控外发通道）。
• 备份与监控（8.13–8.18）：8.13 信息备份（策略+定期恢复演练）；8.14 信息处理设施冗余；8.15 日志记录（审计日志的采集与保护）；8.16 监控活动（新增：持续异常检测）；8.17 时钟同步；8.18 特权工具程序的使用。
• 网络（8.19–8.23）：8.19 运行系统软件安装控制；8.20 网络安全（防火墙、入侵防御）；8.21 网络服务安全；8.22 网络隔离（内外网、生产/办公网分段）；8.23 Web 过滤（新增：拦截恶意网站、规范上网行为）。
• 密码与开发（8.24–8.34）：8.24 密码学使用（加密算法与密钥管理）；8.25 安全开发生命周期（SDLC 各阶段嵌入安全）；8.26 应用安全需求；8.27 安全的系统架构与工程原则；8.28 安全编码（新增）；8.29 开发与验收中的安全测试；8.30 外包开发；8.31 开发、测试、生产环境分离；8.32 变更管理；8.33 测试数据保护；8.34 审计测试期间的信息系统保护。

3. 2022 版新增的 11 项控制

2013 版 114 项 → 2022 版 93 项：57 项合并为 24 组、23 项改名、35 项不变，新增 11 项全部对应现代威胁：

4. 风险评估的完整流程（对应 6.1.2）

标准不强制具体方法，但要求流程成文、可重复、结果可比，典型流程如下：

1. 确定范围与准则：明确 ISMS 边界；制定风险准则——可能性等级（如 1–5）、影响维度（保密性/完整性/可用性+法律/财务/声誉）、风险接受准则（多少分以上必须处置）。
2. 资产识别：基于 5.9 的资产清单，列出范围内的信息资产（数据、系统、设备、人员、服务），并指定每项资产的责任人。
3. 威胁与脆弱性分析：对每项资产识别现实的威胁源（外部攻击者、恶意/疏忽内部人员、供应商故障、自然灾害）以及可被利用的脆弱性（未打补丁、弱口令、缺备份、单点故障等）。风险场景 = 威胁 + 脆弱性 + 资产。
4. 风险计算：对每个场景评估可能性（1–5）与影响（1–5），风险值 = 可能性 × 影响（1–25），对照准则定级（低/中/高/严重）。这是"固有风险"（未考虑现有控制前）。
5. 风险评价：将风险值与接受准则比较，决定哪些风险必须处置。
6. 风险处置（6.1.3）：四种方式——降低（实施控制措施，选附录 A 控制）、接受（在风险偏好内，须风险责任人书面签字）、规避（停止相关业务活动）、转移/分担（买保险、合同条款转移给供应商）。降低后重新打分得"残余风险"，仍超标的须升级接受。
7. 输出：风险登记册 + 风险处置计划（控制→行动→责任人→完成期限）→ 形成 SoA。

5. SoA（适用性声明）的写法与审核重点

怎么写：SoA 是 6.1.3 的强制产出，一张表覆盖全部 93 项控制，每行包含：控制编号、是否适用、适用/不适用的理由、实施状态、证据索引。关键原则：控制可以不选，但理由不能不写——不适用的理由必须具体（如"本组织无自研软件，故 8.28 安全编码不适用"），不能写"不适用"三个字了事；适用的要写清实施到什么程度。

审核时重点看（认证机构第一个读的文件）：

1. 93 项是否逐项覆盖、有无遗漏；
2. 排除项的理由是否充分、是否与风险评估结论自洽（高风险却排除对应控制 = 不符合项）；
3. 声称"已实施"的控制是否有证据支撑（抽查时拿不出证据 = 不符合项）；
4. SoA、风险处置计划、风险评估三者是否互相印证、形成闭环。

三、对企业的帮助

1. 降低安全事件损失：体系化的风险识别与处置，减少数据泄露、业务中断带来的直接损失；我国《数据安全法》下数据泄露可处最高 5000 万元罚款，体系落地是"避坑"投入。
2. 赢得客户信任、缩短销售周期：认证是独立第三方背书，比自说自话的"我们很安全"可信得多；B 端招标中常被列为硬性门槛，能消除安全审查阻塞、加速签单。
3. 招投标与市场准入：政府、国企、大型企业采购普遍将 ISO 27001 作为供应商筛选条件，是进入高价值客户供应链的"通行证"。
4. 合规衔接：有助于满足《个人信息保护法》《数据安全法》及等保 2.0 的安全管理要求（注意：等保是我国强制性制度，认证不能替代等保测评，但两者管理要求高度重叠，可一次投入、双重受益）。
5. 内部管理提效：梳理权限、流程、供应商管理，减少人为失误和重复救火；持续监督审核机制让安全投入标准化、可度量。
6. 品牌与资本价值：对外是市场差异化徽章，对内向投资人传递"运营成熟、长期可靠"的信号。

四、最新版本

经核实，截至 2026 年现行有效版本为 ISO/IEC 27001:2022（2022 年 10 月 25 日发布，第三版，取代 2013 版）：

• ISO/IEC 27001:2022/Amd 1:2024：2024 年 2 月发布的第 1 号修正案"气候行动变更"，要求组织在第 4.1 条中明确气候变化是否为相关议题（适用于所有管理体系标准的通用修正）。
• 旧版 2013 证书的转版过渡期已于 2025 年 10 月 31 日结束，2013 版证书现已失效，新认证一律按 2022 版审核。

五、适合做认证的企业

• IT/软件/SaaS、云服务、大数据、AI 公司：数据是核心资产，且客户安全问卷压力最大；
• 金融、电信、医疗、政务服务供应商：强监管行业，合规与招投标刚需；
• 出海企业：GDPR、NIS2 等境外法规语境下，国际互认的证书是通用语言；
• 承接大企业外包的中小企业：认证是进入大客户供应商名录最直接的敲门砖；
• 任何处理大量客户个人信息、商业秘密，或把"安全可信"作为卖点的企业。

认证属自愿性质（除非法律、合同另有要求），证书按声明的体系范围签发，且每年需接受监督审核，并非"一次拿证、终身有效"。

主要信息来源

• Wikipedia "ISO/IEC 27001"（版本沿革）
• BSI 转版 FAQ（2022-10-25 发布、93 项/4 主题、转版截止 2025-10-31）
• isms.online《ISO 27001:2022 Annex A Explained》
• kertos.io《ISO 27001 Controls: All 93 Annex A Controls Explained (2026)》

标签：信息安全 · ISO/IEC 27001 · 标准解读