ISO27001信息安全管理体系之四：转化策略成制度，行为规范有形

一、策略与制度：一对容易混淆的重要概念

在信息安全管理体系建设过程中，“策略”和“制度”是两个经常被混用的词。不少企业把一份高高在上的方针文件当作制度来执行，结果发现员工根本看不懂、更谈不上遵守。策略和制度的区别其实很清晰：策略回答的是“为什么要做”以及“总体方向是什么”，而制度回答的是“谁来做、做什么、怎么做、做到什么标准”。

ISO27001作为体系实施的指南标准，特别强调了将高层策略转化为可操作制度的重要性。方针文件通常由最高管理者签发，语言相对宏观，表达的是组织对信息安全的承诺和总体目标。而制度文件则是面向具体岗位和具体场景的操作性文件，它需要把方针中的原则性要求，拆解成每个岗位在日常工作中可以执行的规范动作。

举个例子，方针层面可以说“组织承诺保护客户信息的机密性”，但到了制度层面，就必须具体化为“涉及客户信息的导出操作，必须经由部门负责人审批，并使用指定的加密传输通道”。前者是方向，后者是动作。没有后者，前者就是一句空洞的口号。

二、制度设计的三项核心原则

好的制度文件需要满足三个基本原则：可执行、可检查、可更新。

可执行是指制度中的每一条要求都对应到具体的岗位和场景，不会出现“相关部门应予以重视”这种谁都重视、谁都不负责的模糊表述。每一个条款都需要有明确的责任主体和实施动作。

可检查是指制度中的规范要求具备可验证性，内审时能够通过客观证据来证明是否被执行到位。凡是无法检查的条款，在实际运行中几乎都会形同虚设。因此制定制度的时候，就需要同步考虑“怎么证明这条要求被执行了”——是操作日志、审批记录、还是培训签到表？

可更新是指制度需要保持对业务变化的适应性。制度不是雕刻在石碑上的戒律，业务变了、系统变了、组织架构变了，制度就需要同步修订。过于僵化的制度最终只会被员工绕道而行，失去约束效力。

三、让制度从“挂在墙上”到“长在身上”

制度文件写得再好，如果不能被员工理解并接受，也只是一堆废纸。很多企业的制度发布后就石沉大海，员工不知道有新制度，知道了也不清楚和自己有什么关系，明白了也不觉得需要严格遵守。

解决这个问题的关键在于制度发布和宣贯的配套流程。制度正式签发前，应当征求相关执行岗位的意见，确保条款在实际操作层面是可行的。签发后应当组织针对性的培训，重点不是逐条朗读文件，而是向员工讲清楚“这个制度解决了什么问题”、“如果违反会产生什么后果”、“日常工作中我该怎么对照执行”。

制度运行一段时间后，还需要通过内审、日常巡检等方式验证其有效性。发现不符合项时，要区分是制度本身设计不合理，还是执行层面的问题。前者需要修订制度，后者需要强化培训和监督。只有这样持续迭代，制度才能真正从纸面走向岗位，从形式走向实质。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI辅导，DCMM辅导，ISO27001、ISO20000、FSC、IATF16949等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com