ISO/IEC 27001:2022 信息安全管理体系 全套落地方案

第一部分 项目概述

1.1 项目背景

公司处理超过1000万人的个人信息，已触发《个人信息保护合规审计管理办法》规定的每两年至少一次合规审计的法定义务。ISO/IEC 27001信息安全管理体系认证与个人信息保护合规审计具有高度协同效应——前者构建系统化的信息安全管理框架，后者聚焦具体的合规检查点。两者结合可实现“一次建设、双重收益”。

重要提示：新版国家标准GB/T 22080-2025/ISO/IEC 27001:2022已于2025年6月30日发布，2026年1月1日起正式实施，全面取代旧版GB/T 22080-2016。自2025年8月1日起，认证机构已开始受理依据新版标准的初次认证申请。任何新申请认证的企业，均须按照新版标准执行。

1.2 标准概述

ISO/IEC 27001是由国际标准化组织（ISO）与国际电工委员会（IEC）联合发布的信息安全管理体系（ISMS）要求标准。其核心框架建立在PDCA循环之上：

1.3 新版标准核心变化

ISO/IEC 27001:2022相较于2013版的主要变化：

1.4 项目实施总览

第二部分 项目组织与团队

2.1 项目组织结构

text

                    项目指导委员会（高层管理层）
                              │
                    项目经理（信息安全负责人）
                              │
    ┌──────────┬──────────┬──────────┼──────────┬──────────┐
    │          │          │          │          │          │
  IT组      法务组      HR组      行政组     业务组    内审组

（技术落地） （合规审核）（培训考核）（物理安全）（业务对接）（体系检查）

2.2 各角色职责

2.3 人员能力要求

• 项目经理：应具备信息安全管理体系相关知识和项目管理经验

• 内审员：应持有ISO 27001内审员证书，熟悉标准条款和审核技巧

• 技术人员：应具备网络安全、数据加密、访问控制等专业技能

• 全员：需接受信息安全意识培训并通过考核

第三部分 第一阶段：前期准备与策划（第1-4周）

3.1 获取高层承诺

目标：获得管理层对建立ISMS的正式承诺和支持。

具体工作：

1. 向管理层提交项目立项报告，说明认证的必要性、收益和资源需求

2. 管理层签署《信息安全方针》，明确资源投入

3. 正式任命信息安全负责人（可与个人信息保护负责人合并）

4. 确定项目预算（认证费、咨询费、技术改造投入等）

交付物：

• 《项目立项报告》

• 《信息安全方针》（管理层签署版）

• 《项目预算审批表》

3.2 组建项目团队

具体工作：

1. 发布正式的项目组成立通知

2. 明确各成员职责分工

3. 召开项目启动会

交付物：

• 《项目组成员及职责表》

• 《项目启动会会议纪要》

3.3 界定认证范围

具体工作：

• 业务范围：明确覆盖的业务系统（如ERP、客户数据库、核心业务系统等）

• 物理范围：确定覆盖的物理场所（总部、分支机构、数据中心等）

• 组织范围：明确覆盖的部门和人员

• 排除项：明确不在认证范围内的部分及理由

交付物：

• 《ISMS范围界定书》

3.4 标准培训

具体工作：

1. 组织项目核心成员参加ISO 27001标准培训

2. 理解标准条款要求（正文10个条款 + 附录A 93项控制）

3. 理解PDCA循环和过程方法

交付物：

• 《培训记录表》

• 《培训考核记录》

3.5 制定项目计划

具体工作：
编制详细的项目实施计划，包括各阶段时间节点、责任人、交付物。

交付物：

• 《ISO 27001项目实施计划》

第四部分 第二阶段：现状评估与差距分析（第4-6周）

4.1 现状调研

具体工作：

1. 收集现有信息安全相关制度、流程、记录

2. 访谈各部门负责人，了解现行安全管理现状

3. 检查现有技术控制措施（防火墙、加密、备份等）

交付物：

• 《现状调研报告》

4.2 差距分析

具体工作：
对照ISO 27001:2022标准要求（正文10个条款 + 附录A 93项控制），逐项评估现状与标准要求的差距。

差距分析维度：

交付物：

• 《差距分析报告》（含改进建议和优先级）

4.3 法律法规与合规要求识别

具体工作：

1. 识别适用的法律法规（《个人信息保护法》《网络安全法》《数据安全法》等）

2. 识别行业监管要求

3. 识别合同义务和客户要求

交付物：

• 《法律法规与合规要求清单》

第五部分 第三阶段：体系设计与文件编制（第6-10周）

5.1 风险评估（核心环节）

风险评估是ISO 27001的核心环节。按照ISO 27001:2022第6.1.2条款要求开展。

步骤一：资产识别

列出所有信息资产，包括：

• 数据资产：客户数据、员工数据、财务数据、知识产权等

• 硬件资产：服务器、网络设备、终端设备、存储设备等

• 软件资产：操作系统、应用软件、数据库、开发工具等

• 人员资产：关键岗位人员、外包人员等

• 服务资产：云服务、外包服务、第三方API等

对每项资产进行分类和分级（如：高敏感、中敏感、低敏感）。

步骤二：威胁与脆弱性识别

对每项资产识别：

• 威胁：可能对资产造成损害的事件源（如黑客攻击、内部人员泄露、自然灾害等）

• 脆弱性：资产存在的弱点（如弱密码、未打补丁、缺乏访问控制等）

步骤三：风险分析与评价

采用定性与定量相结合的方法：

• 可能性评估：威胁发生的概率（高/中/低）

• 影响评估：威胁发生后的损失程度（高/中/低）

• 风险值计算：风险值 = 可能性 × 影响

步骤四：风险处置

根据风险等级制定处置策略：

• 接受：风险在可接受范围内

• 规避：停止相关业务活动

• 转移：购买保险、外包等

• 降低：实施控制措施

2025版新增要求：评估云计算服务商风险并保留审计记录。

交付物：

• 《资产清单与分级表》

• 《威胁与脆弱性识别表》

• 《风险评估报告》

• 《风险处置计划》

5.2 适用性声明（SoA）编制

适用性声明（Statement of Applicability, SoA）是ISO 27001认证的关键文件，它连接了风险评估和风险处置。

编制方法：

1. 对照附录A的93项控制措施

2. 逐项评估每项控制是否适用于贵公司

3. 对适用项说明实施状态（已实施/计划实施）

4. 对不适用项说明理由（如“不涉及云服务”）

2025版新增要求：SoA中需说明AI训练数据管控措施及区块链应用安全策略。

交付物：

• 《适用性声明（SoA）》

5.3 四阶文件体系编制

ISO 27001文件体系采用四阶金字塔结构：

ISO 27001:2022要求的26份强制性文件可参考标准清单编制。

核心文件清单：

一阶文件：

1. 《信息安全管理手册》

二阶程序文件：

2. 《文件控制程序》

3. 《记录控制程序》

4. 《内部审核程序》

5. 《管理评审程序》

6. 《风险评估与处置程序》

7. 《信息安全事件管理程序》

8. 《业务连续性管理程序》

9. 《供应商安全管理程序》

10. 《培训管理程序》

11. 《访问控制管理程序》

12. 《资产管理程序》

13. 《变更管理程序》

14. 《纠正与预防措施程序》

三阶作业指导书：

15. 《密码安全管理规范》

16. 《数据备份与恢复操作规范》

17. 《系统漏洞管理规范》

18. 《日志审计管理规范》

19. 《办公场所安全管理规范》

20. 《移动设备管理规范》

21. 《远程办公安全规范》

四阶记录表单：

22. 各类申请表、记录表、日志模板等

交付物：

• 完整的四阶文件体系（所有文件发布实施）

第六部分 第四阶段：控制措施部署与试运行（第10-16周）

6.1 技术控制措施部署

根据风险评估结果和SoA，落实技术控制措施。

2025版强制要求：

• 数据库加密系统

• DLP数据防泄漏工具

• 供应商安全评估（每年复评）

6.2 管理控制措施部署

6.3 试运行

强制要求：体系运行不少于3个月，保留充分的运行记录。

试运行期间需保留的证据：

• 应急演练记录（如勒索软件攻击模拟）

• 备份恢复日志

• 权限变更申请与审批记录

• 漏洞扫描与修复记录

• 培训签到与考核记录

• 事件处理记录

• 访问控制日志

• 供应商评估记录

交付物：

• 各类运行记录和日志（3个月）

• 《试运行总结报告》

第七部分 第五阶段：内部审核（第16-17周）

7.1 内部审核策划

审核目的：验证ISMS运行是否符合ISO 27001标准要求及企业自身要求，是否有效运行。

审核范围：覆盖ISMS范围内的所有部门和过程。

审核人员：

• 持证内审员交叉检查

• 覆盖不少于30%的部门

• 内审员应独立于被审核部门

交付物：

• 《年度内部审核方案》

• 《内部审核计划》

7.2 内部审核实施

审核方法：

1. 首次会议：说明审核目的、范围、日程

2. 文件审核：审查体系文件是否符合标准要求

3. 现场审核：通过查阅记录、访谈人员、观察操作收集证据

4. 审核记录：填写《内部审核检查表》

审核重点领域：

• 权限变更记录的完整性和及时性

• 漏洞修复的闭环管理

• 风险评估的更新情况

• 培训记录和效果

• 事件响应和演练记录

交付物：

• 《内部审核检查表》（各部门）

• 《不符合项报告》

• 《内部审核报告》

7.3 不符合项整改

要求：不符合项（NC）应在15日内完成根本原因分析及纠正措施。

整改流程：

1. 分析不符合项的根本原因

2. 制定纠正措施

3. 实施纠正措施

4. 验证纠正措施的有效性

交付物：

• 《纠正措施记录表》

• 《整改验证记录》

第八部分 第六阶段：管理评审（第17-18周）

8.1 管理评审输入

根据ISO/IEC 27001:2022第9.3.2条款，管理评审输入应包括：

交付物：

• 《管理评审输入材料汇编》

8.2 管理评审会议

参与人员：高层管理层（总经理、CTO、CIO等）。

评审内容：

• ISMS的适宜性：是否仍然适合组织战略

• ISMS的充分性：是否充分覆盖了风险

• ISMS的有效性：是否实现了预期目标

交付物：

• 《管理评审会议纪要》

8.3 管理评审输出

根据ISO/IEC 27001:2022第9.3.3条款，管理评审输出应包括：

• ISMS有效性改进的决定和措施

• 影响信息安全的变更需求

• 资源需求

交付物：

• 《管理评审报告》（管理层审批）

第九部分 第七阶段：认证审核（第18-22周）

9.1 认证机构选择

选择标准：

• 必须选择获得CNAS（中国合格评定国家认可委员会） 认可的认证机构

• 知名认证机构包括：SGS、BSI、TÜV等

• 考虑机构的行业经验和服务质量

签约内容：

• 签订认证合同

• 约定审核时间和费用

9.2 第一阶段审核（文件审核）

审核目的：审核体系文件是否符合标准要求，确认现场审核准备情况。

审核内容：

• ISMS文件体系完整性

• 适用性声明（SoA）

• 风险评估报告

• 体系运行记录

审核结果：

• 提出改进意见，企业需在第二阶段前完成整改

9.3 第二阶段审核（现场审核）

审核目的：实地检查ISMS运行情况。

审核内容：

（一）技术控制审核：

（二）管理流程审核：

（三）不符合项处理：

• 审核组发现不符合项

• 企业需在规定时间内完成整改

9.4 认证决定与发证

流程：

1. 认证机构评审整改材料

2. 通过后颁发ISO 27001证书

3. 证书有效期三年

重要提示：在获得新版国家标准认证证书前，不得声明信息安全管理体系通过了新版国家标准认证，也不得以任何误导方式使用认证证书。

第十部分 获证后的持续维护

10.1 监督审核

• 频率：每年一次监督审核

• 目的：确保体系持续符合要求

10.2 再认证

• 时间：证书到期前进行再认证审核

• 流程：与初次认证类似

10.3 持续改进

• 定期更新风险评估，应对业务变化和新兴威胁

• 持续监视、测量、分析和评价ISMS有效性

• 根据内审、管理评审和监督审核结果持续优化

第十一部分 项目文件清单汇总

11.1 必须输出的文件（按阶段）

11.2 四阶文件详细清单

第十二部分 审核关键检查要点

以下为认证审核（第二阶段）中审核员重点检查的内容：

12.1 技术控制检查要点

12.2 管理流程检查要点

第十三部分 常见挑战与应对策略

第十四部分 与个人信息保护合规审计的协同建议

建议：将ISO 27001体系建设与个人信息保护合规审计的准备工作合并推进，避免重复建设，降低总体合规成本。

第十五部分 时间总览