ISO 27001和ISO 27002、ISO 27701是什么关系，企业该怎么组合使用

时间：2026-10-09浏览次数：45

在信息安全领域，企业常同时听到几个标准编号，容易分不清用途。简单说，ISO 27001是要求，用来认证；ISO 27002是实施指南，用来参考；ISO 27701是隐私管理的扩展，可以认证。本文把这几者的关系讲清楚，并给出组合使用的思路。

一、先分清“要求”与“指南”

ISO 27001是要求标准，规定了组织必须满足的事项，可作为第三方认证的依据。ISO 27002是实践指南，对附录A的93项控制逐项给出实施建议，包括目的、控制内容、实施指引和其他参考信息。它不用于认证，作用是告诉企业每一项控制大致应该怎么做。

这个区别的实际含义是：审核员对照ISO 27001判断符合与否，判断依据可以借鉴ISO 27002，但不会因为没完全照做27002而开不符合项。企业把27002当成操作手册使用会比较顺手，特别是在制定策略文件、设计流程的时候。

二、ISO 27701的定位

ISO 27701是隐私信息管理的扩展标准，全称是《安全技术扩展ISO/IEC 27001和ISO/IEC 27002的隐私信息管理要求与指南》。它建立在27001之上，针对个人信息控制者和处理者分别提出了扩展要求，可以单独认证，也可以与27001合并审核。

适用的场景是处理大量个人信息、或者客户对个人数据保护有明确要求的企业。例如互联网平台、医疗健康、人力资源服务、金融零售、跨境电商等。已经通过27001的企业，再做27701的增量工作量相对可控，因为体系框架、风险评估方法和大部分控制措施是共用的。

三、周边还有哪些标准值得了解

ISO 27005是信息安全风险管理指南，对风险评估与处置方法讲得比较细，适合用来规范企业自己的评估方法。ISO 27017是云服务的控制扩展，ISO 27018是云中个人信息保护的控制扩展，云服务商常会用到。ISO 27035是信息安全事件管理指南，对企业设计事件分级、响应和复盘流程有帮助。ISO 27013则专门讲20000与27001的一体化实施。

这些标准多数不是认证依据，属于配套工具书。企业不需要全买全读，按业务场景选用即可。

四、组合使用的思路

如果企业只需要证明信息安全管理能力，单独做27001就可以。范围要覆盖客户真正关心的业务与系统，不要为了省事把关键系统排除在外。

如果企业处理个人信息且客户有隐私要求，可以按27001加27701的方式推进。做法是先按27001把体系和风险评估基础搭起来，再把个人信息的识别、告知同意、委托处理、跨境传输、主体权利响应等要求叠加进去。两套体系共用一套资产清单和风险登记表，管理成本比较低。

如果企业是云服务商，可以在27001的基础上考虑27017和27018的扩展控制，并向客户说明共享责任的划分方式。这类说明在客户评估和招投标中经常被追问。

如果企业同时在推进信息技术服务管理体系，可以参照ISO 27013的整合思路，把两套体系的过程接口打通。事件管理、变更管理、供应商管理、连续性管理在两套标准中都有对应条款，合并设计可以避免两套流程各说各话。

五、执行时容易踩的坑

把27002当成认证依据。审核不会要求逐条落实27002的建议，但会要求27001附录A的控制基于风险评估作出适用性判断。

把27701当成“隐私合规的全部”。它是一套管理体系要求，可以帮助企业建立隐私管理的秩序，但不能替代对个人信息保护法等法规义务的逐项判断。

文件版本不统一。多套标准并行时，策略文件、风险登记表、适用性声明的版本容易失控，需要有统一的文件编号与修订记录。

业务部门不参与。信息安全与隐私管理都跨部门，如果只有信息技术部门推进，涉及人事、法务、采购、市场的要求往往落不下去。

27001 (2).png