浅谈ISO/IEC 27001信息安全管理体系

本文从整体角度对ISO/IEC 27001标准进行简要的介绍，尽量覆盖标准的整体情况，包括方法论和各个域的控制情况，方便大家阅读之后对信息安全管理体系有一个相对整体的认识。本文主要包括四个方面内容，一是标准整体的演变及背景情况；二是标准的主要内容；三是实践方面如何从风险管理角度，基于PDCA的方法论，依托ISO/IEC 27001标准开展信息安全的管理工作；四是新标准的变化和控制。同时2024年也是ISO/IEC 27001:2013版可用的最后一年，未来的体系认证都要基于ISO/IEC 27001:2022版标准。基于风险管理和PDCA的方法论是ISO/IEC 27001的核心，希望大家能够有所收获有所运用。

目前ISO/IEC 27001最新版本是2022版，标准全称是《ISO/IEC 27001:2022 •Information security, cybersecurity and privacy protection — Information security management systems — Requirements/•信息安全、网络安全和隐私保护 — 信息安全管理体系 — 要求》。

相对旧版，标题中扩展为Information security, cybersecurity and privacy protection/信息安全、网络安全和隐私保护。 

注：ISO：国际标准化组织。IEC：国际电工委员会。

同时也衍生出ISO/IEC 27000标准族及一系列标准，为信息安全管理体系的建设、指导、认证等服务。主要包括：

• ISO/IEC 27000 原理与术语Principles and vocabulary

• ISO/IEC 27001 信息安全管理体系—要求 ISMS Requirements（主标准）

• ISO/IEC 27002 信息安全控制 ISMS Information security controls

• ISO/IEC 27003 实施指南ISMS Implementation guidelines

• ISO/IEC 27004 指标与测量ISMS Metrics and measurement

• ISO/IEC 27005 风险管理ISMS Risk management

• ISO/IEC 27006 认证机构的认可要求ISMS Requirements for the accreditation of bodies providing certification

• ISO/IEC 27007 信息安全管理体系审核员指南 Guidelines for information security management systems auditing

国际标准化组织（ISO/IEC）颁布了多个管理体系标准，这些体系包括信息安全、环境、质量、职业健康安全等多个领域。为了解决这些管理体系的成文结构混乱不一的情况，ISO/IEC就提出和规定了相通的核心正文，核心定义的通用术语和相同的章节顺序，即“高阶结构”（HLS）。高阶结构是指十个章节：（1）范围；（2）规范性引用文件；（3）术语和定义；（4）组织环境；（5）领导；（6）规划；（7）支持；（8）运行；（9）绩效评价；（10）改进。高阶结构可以理解为以PDCA为框架的过程方法结构。

ISO/IEC27001:2022标准同样采用该高阶结构。标准主要框架如下：

标准定位：

ISO/IEC 27001标准提供建立、实现、维护和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略性决策。组织信息安全管理体系的建立和实现受组织的需要和目标、安全要求、组织所采用的过程、规模和结构的影响。所有这些影响因素可能随时间发生变化。

信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性，并为相关方树立风险得到充分管理的信心。

重要的是，信息安全管理体系是组织的过程和整体管理结构的一部分分并集成在其中，并且在过程、信息系统和控制的设计中要考虑到信息安全。期望的是，信息安全管理体系的实现程度要与组织的需要相符合。

ISO/IEC 27001标准可被内部和外部各方用于评估组织的能力是否满足自身的信息息安全要求。

ISO/IEC 27001本标准中所表述要求的顺序不反映各要求的重要性或者这些要求要予实现的顺序。条款编号仅为方便引用ISO/IEC/IEC 27000描述了信息安全管理体系的概要和词汇，引用了信息安全管理体系的标准族(包括ISO/IEC27003、ISO/IEC 27004、ISO/IEC 27005)，以及相关术语和定义。

各章节主要内容如下：

• 附录A（Annex A）：这一部分提供了一系列建议的控制，组织可以根据自己的风险评估结果选择适当的控制。重点是提供一个全面的控制列表，以帮助组织管理信息安全风险。

ISO/IEC 27001为信息安全管理体系（ISMS）提供了框架。其核心是基于风险的信息安全管理，即识别、评估和管理信息安全风险，以保护组织的信息资产免受威胁。

实施ISO/IEC 27001的关键步骤：

ISO/IEC 27001中面向过程的管理

1. 计划（Plan）：在ISO/IEC 27001中，这一步涉及到建立ISMS，包括定义政策，识别资产，评估风险，以及选择适当的控制来管理风险。

2. 执行（Do）：实施和操作ISMS，包括实施选定的控制，以及提供必要的培训和资源。

3. 检查（Check）：监控和审查ISMS，包括进行内部审计，以及评估ISMS的效果和有效性。

4. 行动（Act）：根据检查的结果进行必要的改进，包括修正发现的问题，以及改进ISMS的效果。

通过遵循PDCA模型，从而建立一个持续改进的信息安全管理体系。

最新版标准ISO/IEC 27001:2022 标准的行文结构依然按照高阶结构（HLS）展开，整体结构（一级目录）没有变化，从而体系方法保持不变，附录A跟随ISO/IEC 27002：2022版的内容进行了同步更新。

标准正文结构进行了小调整（二、三级目录），有增加、拓展和顺序调整，以同步近年来HLS的变化，对条款文字描述进行部分改动，但它们只是澄清和适当的展开，并没有增加或减少要求。

信息安全控制

在《ISO/IEC 27002:2022 信息安全控制》中，控制被定义为改变或保持风险的措施。ISO/IEC 27002标准文件中的一些控制措施是改变风险的控制措施，而其他控制措施则保持风险。例如，信息安全策略只能保持风险，而遵守信息安全策略可以改变风险。此外，一些控制表现为在不同的风险语境下相同的通用措施。ISO/IEC 27002标准文件提供了从国际公认的最佳实践中总结出来的组织、人员、物理和技术信息安全控制的通用组合。

在ISO/IEC 27002:2022中控制措施新增控制属性每个控制措施都与5个属性相关联。