ISO27001信息安全管理体系是什么？标准演进、条款结构与认证价值

 ISO 27001是国际标准化组织与国际电工委员会联合发布的《信息安全 网络安全 隐私保护 信息安全管理体系 要求》，为组织建立、实施、保持和持续改进信息安全管理体系提供框架。它管的是信息的机密性、完整性和可用性，落点在人、流程和技术三个方面。本文讲清它的来源与现行版本、条款结构与附录A的控制措施、认证的核心产出、适用对象、认证带来的价值以及准备中的常见问题。

一、标准的来源与演进

ISO 27001并不是凭空出现的。它的前身是英国在上世纪九十年代发布的信息安全管理实务标准，后来被国际标准化组织采纳，2005年形成ISO/IEC 27001的初版。此后经历了2013年、2022年两次修订，条款结构从早期偏重控制清单，逐步转向与其他管理体系标准一致的高层结构。

2022年10月发布的版本是当前国际上普遍使用的一版，也是第三版。与2013年版相比，它在两个地方改动明显。一是采用了统一的高层结构，条款框架与ISO9001、ISO14001、ISO/IEC20000保持一致，企业把多个体系放在同一套管理逻辑里运行会顺畅很多。二是附录A的控制措施做了重构，从原来的114项调整为93项，原来按14个域编排，现改为组织、人员、物理、技术四大类。

在我国，等同采用的国家标准也在跟进。国家标准《网络安全技术 信息安全管理体系 要求》已于2026年1月1日起实施，代替此前的版本，其技术内容与国际标准2022年版（含2024年修正案）保持一致，差异主要在标准名称的引导词和规范性引用文件的编号上。企业按国际标准或国家标准建立体系，效果相同。

二、版本状态与转换的现实情况

版本信息需要说清楚，因为不少企业还在问2013版的事。国际认可论坛设定的转换过渡期已于2025年10月31日结束。从这时点起，原来持有的2013版证书不再有效；新的初次认证、监督审核和再认证，都依据2022年版进行。截至2026年，并没有发布更新的版本，2024年的第1号修正案只是在组织环境与相关方条款中增加了气候变化的考量，没有新增附录A的控制措施。

这意味着企业不需要为“下一个版本什么时候来”分心，可以把注意力放在体系是否真正在运行上。转换本身通常结合监督审核或再认证进行，不额外增加审核人日，但要求企业提前完成体系文件的换版评审，包括风险登记表、适用性声明和各类策略文件要对应到93项控制的新编号与新分类。

三、条款结构：第4章到第10章

标准正文分十章，其中第4章到第10章是必须满足的要求，也是认证审核逐条对照的部分。

其一是组织环境，对应第4章。要求确定与组织宗旨相关、并影响信息安全管理体系预期结果的内外部因素；确定相关方及其要求；明确体系范围并建立体系及其过程。这里要考虑的因素包括业务模式、技术架构、法律法规、监管要求、供应链依赖，以及2024年修正案提到的气候变化议题。

二是领导作用，对应第5章。管理层要表明对信息安全的领导作用和承诺，制定信息安全方针，明确角色、职责与权限。方针需要与业务方向一致，包含对满足适用要求的承诺和对持续改进的承诺，并且要作为文件化信息保存、在组织内传达。

三是策划，对应第6章。这一章是标准的技术核心，要求识别风险与机遇，做信息安全风险评估和风险处置，形成风险处置计划并取得所有者批准；同时确定信息安全目标及其实现策划。风险评估的方法、准则、可接受风险等级都要提前定义，不能边评边定。

四是支持，对应第7章。包括资源、能力、意识、沟通和文件化信息。其中意识的覆盖面要延伸到在组织控制下工作的所有人员，包括外包与劳务人员。

五是运行，对应第8章。要求对体系过程进行策划、实施和控制，对风险评估与风险处置按计划实施，并保持文件化信息。

六是绩效评价，对应第9章。包括监视、测量、分析和评价，内部审核，管理评审。执行效果如何，要看有没有留下可核查的记录。

七是改进，对应第10章。包括不符合与纠正措施，以及持续改进。审核中开具的不符合项，整改要有原因分析、措施和验证。

四、附录A的93项控制措施

附录A是信息安全控制的参考清单，2022年版把93项控制按四个主题编排：组织类控制37项，编号A.5开头；人员类控制8项，编号A.6开头；物理类控制14项，编号A.7开头；技术类控制34项，编号A.8开头。

这个清单有一个容易被误读的地方。它是参考控制，不是逐条打钩的清单。企业要基于自身的风险评估结果来决定选用哪些、排除哪些，并在适用性声明里说明理由。审核员在2026年的审核中，普遍更关注“你为什么选它或排除它”，而不只是“你有没有做”。

与2013年版相比，新版新增了11项控制，反映了近几年安全实践的变化。例如威胁情报、云服务使用中的信息安全、数据防泄漏、监控活动、Web过滤、物理安全监控、配置管理、信息删除、数据脱敏、安全编码、信息通信技术业务连续性准备。这些控制大多与当前企业的真实场景直接相关，也是转换期审核容易追问的方向。

每一项控制还带有五类属性标签，包括控制类型、信息安全属性、网络安全概念、运营能力和安全域。属性标签的作用是帮助企业从不同角度检索和组合控制，不是额外的合规要求。

五、认证的核心产出

有几份产出会贯穿整个认证过程，准备阶段就要做好。

一是风险评估结果。要覆盖信息资产的识别、威胁与脆弱性的分析、影响与可能性的判断，形成有依据的风险值或风险等级，而不是直接给结论。

二是风险处置计划。针对超过可接受等级的风险，明确处置方式、责任部门、时间节点和预期结果，并有所有者批准。

三是适用性声明，也就是业内常说的SoA。它要逐条列出93项控制的适用性判断、选择或排除的理由，以及当前实施状态。这一份文件是审核中必看的内容，因为它把风险评估和实际采取的控制措施连接起来了。

四是体系运行记录。包括内审报告、管理评审记录、意识培训记录、事件处置记录、变更记录、备份与恢复验证记录等。这些记录的作用是证明控制措施在持续运行，而不是只在审核前补做。

六、适用于哪些组织

标准对规模和行业没有限制，只要组织产生、获取、存储、处理或传输信息，就可以建立体系。实践中需求比较集中的有几类。

信息技术服务企业，包括软件开发、系统集成、云计算、数据中心、运维外包与安全服务。这类企业常在投标和客户准入中被要求提供证书。

金融与类金融机构，包括银行、保险、证券、支付、融资租赁和小额贷款，业务系统与客户数据的安全要求高，监管也比较明确。

制造企业，尤其是向高端客户供货、需要保护图纸与工艺数据、或涉及工业控制系统联网的企业。供应商信息安全评估在汽车、电子、航空等行业已经比较普遍。

医疗健康、政务信息化、教育、能源与交通等涉及公共数据和个人信息的单位，以及为这些单位提供服务的供应商。

还有一类容易被忽略：企业集团的总部与共享服务中心。这类组织掌握的跨公司数据多，权限结构复杂，用体系把访问控制和数据流转管起来，收益比较直接。

七、认证能带来什么价值

对外的价值比较明确。证书在招投标、客户准入、供应商评估、监管沟通中常被作为门槛或加分项，也方便客户理解企业的安全管理能力。证书由经认可的认证机构颁发，在国际认可论坛的互认框架下，多个国家和地区可以采信。

对内的价值取决于是否真正使用。把资产识别和风险评估做实之后，权限长期不回收、离职账号未清理、备份未验证、外部供应商缺少约束、日志留存不足这类问题会暴露出来。对应的整改通常能减少安全事件与业务中断，也降低了合规与赔付风险。许多企业在准备过程中才发现，此前以为“有制度”的部分，实际没有可核查的执行记录。

在合规层面，体系是落实法定的网络与数据安全要求的工具。网络安全法、数据安全法、个人信息保护法等法律确定的义务，以及网络安全等级保护的制度要求，都可以通过体系的过程转化为日常可执行、可记录的动作。需要提醒的是，体系不能替代法律合规本身的判断，两者是配套关系。

八、认证流程与证书维护

流程大致分五步。先确定认证范围与组织架构，开展现状评估与差距分析；再建立体系文件并组织培训；随后按文件实际运行并保留记录；运行一段时间后开展内部审核与管理评审，整改不符合项；随后选择具备资质的认证机构申请审核。

初次认证审核分两个阶段。前一阶段主要了解组织的体系框架、范围与准备情况，确认是否具备进入第二阶段的条件；第二阶段对条款和控制措施的运行证据做完整核查，并开具不符合项。企业对不符合项完成整改并经验证后，机构作出认证决定并颁发证书。

证书有效期三年，期间每年进行一次监督审核，第三年进行再认证。企业的服务范围、组织架构、技术架构或供应商结构发生较大变化时，要与认证机构沟通确认是否影响证书范围。

需要提醒的是，国家认监委发布的新版《信息安全管理体系认证规则》自2026年3月1日起实施，对审核安排、审核员现场工作安排、认证费用支付方式等方面提出了更细的要求。企业在选择认证机构时，可以要求对方说明本次审核安排的依据，避免因为程序问题影响证书的有效性。

九、准备过程中的常见误区

把认证当成买设备、买工具。工具能提高效率，但审核看的是流程是否运转、证据是否连续。买了平台却没有工单记录、没有处置闭环，结论不会好。

风险评估写成结论清单。只列风险名称和等级，缺少资产、威胁、脆弱性、影响与可能性的推导过程，审核时很难说明等级的来源。

适用性声明直接照抄模板。93项控制全部适用或全部排除，都不是基于自身风险判断的结果，容易被追问。

体系范围画得过大或过小。范围过大，工作量与实际不匹配；范围过小，客户要用的服务不在证书上，等于白做。范围要与业务合同、系统清单和服务交付地点对应起来。

取证之后就停摆。监督审核要看周期内的运行证据，平时间断记录、审核前集中补做的方式，通常会在某个环节露出破绽。

如果企业在体系建设、风险评估或审核整改方面需要专业辅导，厦门格略咨询可为制造与服务企业提供信息安全及相关管理体系的咨询辅导服务，协助梳理现状、建立过程并完成审核准备。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com