2. ISO 27001 信息安全管理体系：核心要求、PDCA循环、风险评估方法论、控制措施选择
ISO 27001，说白了就是一套帮组织管好信息安全的“管理动作集”。它不是让你买多贵的防火墙，而是让你把安全这件事，从“拍脑袋”变成“按流程走”。我见过太多公司，买了天价设备，结果员工把密码贴在显示器上——这就是体系没跟上。
这一章，我们拆开揉碎了讲四个核心模块：体系长什么样、怎么转起来、风险怎么算、控制怎么选。
2.1 核心要求：PDCA 与过程方法
ISO 27001 的核心骨架，就是 PDCA 循环。你想想看，任何管理活动，不都是“计划-执行-检查-改进”吗？信息安全也一样。
| 阶段 | 核心活动 | 关键输出 |
|---|---|---|
| P (Plan) | 确定范围、制定方针、风险评估、选择控制目标与控制措施 | ISMS 方针、风险评估报告、适用性声明 (SoA) |
| D (Do) | 实施风险处置计划、执行控制措施、运行培训与意识 | 运行记录、培训记录、变更记录 |
| C (Check) | 监视、测量、内部审核、管理评审 | 监视测量结果、内审报告、管理评审报告 |
| A (Act) | 纠正措施、预防措施、持续改进 | 纠正措施记录、更新后的 SoA |
关键点：ISO 27001 要求的是“过程方法”，不是“部门方法”。安全不是安全部的事，是每个流程里都要嵌入的检查点。我习惯在项目启动时，就把安全要求写进《项目章程》里，而不是等上线前才补。
2.2 PDCA 循环：让体系真正转起来
很多公司做认证，PDCA 只停留在纸面上。我记得有一次帮一家金融科技公司做差距分析，他们的《管理评审报告》写得跟年终总结似的——全是成绩，没有改进项。这就不对了。
真正的 PDCA 循环，每个环节都有硬性要求：
2.2.1 Plan 阶段：定规矩
- 确定范围：边界在哪？是全部 IT 系统，还是只覆盖核心交易系统？
- 制定方针：高层要签字，承诺持续改进。我见过最精简的方针就一句话：“确保客户数据不泄露，业务不中断。”
- 风险评估：这是 Plan 的核心，我们下一节细讲。
2.2.2 Do 阶段：干起来
- 按风险处置计划执行控制措施。
- 培训不能走过场。我曾经要求所有新员工入职必须通过钓鱼邮件模拟测试，不过关的再培训。
- 保留证据。没有记录，就等于没发生。
2.2.3 Check 阶段：查漏洞
- 监视与测量：比如“补丁修复及时率”这个指标，低于 95% 就要报警。
- 内部审核：每年至少一次。我建议找外部顾问参与，自己人审自己人，容易手软。
- 管理评审：最高管理者必须参加。不是听汇报，是要做决策。
2.2.4 Act 阶段：改到位
- 发现不符合项，要分析根因，不是只把表面问题修了。
- 预防措施比纠正措施更重要。你想想看，等出事了再改，成本高多了。
我的习惯：每次内审结束后，我会把发现的问题按“严重程度”和“复发概率”画一个四象限图。右上角（严重+高复发）的问题，必须在一周内出整改方案。
2.3 风险评估方法论：算清楚账
风险评估是 ISO 27001 的灵魂。说白了，就是回答三个问题：有什么风险？有多大？怎么办？
我个人最常用的方法是资产-威胁-脆弱性模型。举个例子：
- 资产：客户数据库
- 威胁：黑客入侵、内部人员泄露
- 脆弱性：数据库未加密、访问权限过大
然后算风险值：风险 = 可能性 × 影响程度。我习惯用 5×5 矩阵，1 到 5 打分。
| 影响\可能性 | 1 (极低) | 2 (低) | 3 (中) | 4 (高) | 5 (极高) |
|---|---|---|---|---|---|
| 5 (极高) | 5 | 10 | 15 | 20 | 25 |
| 4 (高) | 4 | 8 | 12 | 16 | 20 |
| 3 (中) | 3 | 6 | 9 | 12 | 15 |
| 2 (低) | 2 | 4 | 6 | 8 | 10 |
| 1 (极低) | 1 | 2 | 3 | 4 | 5 |
避坑指南：我曾经见过一个团队，把所有风险都打成了“中风险”。为什么？因为没人敢把老板的资产标成高风险。记住，风险评估要客观，不能政治正确。如果所有风险都是“中”，那这个评估就是废纸。
2.4 控制措施选择：从 Annex A 到 SoA
ISO 27001 的 Annex A 列出了 93 个控制项（2022 版是 93 个，之前是 114 个）。但注意，不是所有控制都要选。你需要根据风险评估结果，决定哪些控制是必要的。
最终输出一份 SoA (适用性声明)，里面要写清楚：
- 这个控制项选还是不选？
- 如果选，怎么实施？
- 如果不选，理由是什么？
我举个例子：Annex A 里有个控制项叫“物理安全 perimeter”。如果你的公司是纯云原生，没有办公室，那这个控制项就可以“不适用”。但你要在 SoA 里写清楚理由，不能直接忽略。
核心原则：控制措施的选择，必须基于风险评估的结果。不是为了凑数，也不是为了省钱。我习惯在 SoA 里加一列“风险编号”，把每个控制项和它要缓解的风险对应起来。这样审计师一看就明白。
2.5 知识体系总览
下面这张图，把 ISO 27001 的核心逻辑串起来了。你可以把它当成一张“地图”，随时回来对照。
2.6 落地建议：别贪大求全
最后说点实在的。很多组织第一次做 ISO 27001，恨不得把所有控制项都上了。结果呢？体系文件堆成山，实际执行一塌糊涂。
我建议：先做核心流程，再逐步扩展。比如第一年只覆盖核心业务系统，第二年再覆盖支撑系统。风险评估也是，先做高风险的资产，别一开始就搞全量盘点——那会把你累死。
我的经验：刚开始做 ISMS 时，先抓三个关键流程：变更管理、访问控制、事件响应。这三个流程跑顺了，体系就稳了一半。其他的，慢慢补。
嗯，这一章的内容就到这。记住，ISO 27001 不是终点，是起点。体系建起来之后，真正的挑战是让它持续运转——那才是见真功夫的地方。