ISO27001信息安全管理体系

标准解读

国际标准化组织（ISO/IEC）颁布了多个管理体系标准，这些体系包括信息安全、环境、质量、职业健康安全等多个领域。为了解决这些管理体系的成文结构混乱不一的情况，ISO/IEC就提出和规定了相通的核心正文，核心定义的通用术语和相同的章节顺序，即“高阶结构”（HLS）。

高阶结构是指十个章节：（1）范围；（2）规范性引用文件；（3）术语和定义；（4）组织环境；（5）领导；（6）规划；（7）支持；（8）运行；（9）绩效评价；（10）改进。 可以理解为以PDCA为框架的过程方法结构。

有个比较大的变化就是使用导则83编写，规范了今后ISO管理体系认证标准的基础框架。

导则 83 是对编写国际标准的要求，基于 P（plan 策划 - 确定范围 & 风险评估）D（实施 - 设计 & 实施）C（检查 - 监控 & 评审）A（改进 - 改进ISMS） 框架的目录章节，所以基于导则83编写的标准目录和章节都是一样的，方便整合。

ISO/IEC27001:2022标准同样采用该高阶结构。标准主要框架如下：

标准定位：

ISO/IEC 27001标准提供建立、实现、维护和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略性决策。组织信息安全管理体系的建立和实现受组织的需要和目标、安全要求、组织所采用的过程、规模和结构的影响。所有这些影响因素可能随时间发生变化。

信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性，并为相关方树立风险得到充分管理的信心。

重要的是，信息安全管理体系是组织的过程和整体管理结构的一部分分并集成在其中，并且在过程、信息系统和控制的设计中要考虑到信息安全。期望的是，信息安全管理体系的实现程度要与组织的需要相符合。

ISO/IEC 27001标准可被内部和外部各方用于评估组织的能力是否满足自身的信息息安全要求。

ISO/IEC 27001本标准中所表述要求的顺序不反映各要求的重要性或者这些要求要予实现的顺序。条款编号仅为方便引用ISO/IEC/IEC 27000描述了信息安全管理体系的概要和词汇，引用了信息安全管理体系的标准族(包括ISO/IEC27003、ISO/IEC 27004、ISO/IEC 27005)，以及相关术语和定义。

各章节主要内容如下：

范围（Scope）：这一章节描述了标准的应用范围，即建立、实施、维护和持续改进信息安全管理体系（ISMS）。重点是确保标准适用于所有类型和规模的组织。

规范引用（Normative References）：提供了实施ISO/IEC 27001所需的参考文档。重点是确保组织有正确的参考资料来实施和维护ISMS，包括其他相关的ISO标准和指南。

术语和定义（Terms and Definitions）：定义ISO/IEC 27001中使用的特定术语。重点是确保所有使用者对标准中的术语有统一的理解。

组织环境（Context of the Organization）：要求组织确定外部和内部问题，理解利益相关者的需求和期望，以及定义ISMS的范围。重点是确保ISMS与组织的业务目标和环境相适应，包括法律、技术和市场环境。

领导（Leadership）：强调了管理层对于建立、实施和维护ISMS的责任。重点是确保管理层的承诺和领导，以支持ISMS的成功实施。这包括建立信息安全政策，确保资源的分配，以及建立角色和责任。

规划（Planning）：要求组织进行风险评估和风险处理，以及建立信息安全目标。重点是确保组织有明确的计划来管理信息安全风险，包括识别资产、威胁和漏洞，评估风险的可能性和影响，以及选择适当的控制。

支持（Support）：涉及到实施ISMS所需的资源、能力和意识，以及文档化信息。重点是确保组织有足够的资源和能力来实施和维护ISMS，包括人员、技术和财务资源，以及员工的培训和意识提高。

运行（Operation）：要求组织执行风险评估和风险处理计划，以及管理变更。重点是确保ISMS的日常运行符合计划，包括实施选定的控制，管理ISMS的变更，以及应对信息安全事件。

绩效评价（Performance Evaluation）：涉及到监控、测量、分析和评估ISMS的效果，以及内部审计和管理评审。重点是确保ISMS的效果和有效性得到定期评估和审查，以检查其是否符合组织的信息安全政策和目标，以及法律和合同要求。

改进（Improvement）：要求组织根据ISMS的绩效评估结果进行持续改进。重点是确保组织有机制来识别和实施ISMS的改进，包括修正不符合项，以及改进ISMS的绩效和效果。

附录A（Annex A）：这一部分提供了一系列建议的控制，组织可以根据自己的风险评估结果选择适当的控制。重点是提供一个全面的控制列表，以帮助组织管理信息安全风险。

正文解析

ISO/IEC27001的正文分为8章，分别为:

①范围;

②规范性引用文件;

③术语和定义;

④信息安全管理体系;

⑤管理职责;

⑥内部信息安全管理体系审核;

⑦信息安全管理体系的管理评审;

⑧信息安全管理体系的改进: