3. ISO27001标准结构：理解PDCA循环、高层结构（HLS）在ISO27001中的应用
🎯 学习目标：掌握ISO27001标准的两大核心骨架——PDCA循环（过程方法）与高层结构HLS（统一框架）。理解它们如何协同运作，构建信息安全管理体系的“发动机”与“底盘”。
3.1 高层结构（HLS）—— 统一的管理体系语言
高层结构（High-Level Structure, HLS）是ISO/IEC Directives Part 1 Consolidated ISO Supplement 中定义的通用框架。自2012年起，所有新的ISO管理体系标准（MSS）均采用此结构。ISO27001:2022完全遵循HLS，这意味着它与ISO9001（质量）、ISO14001（环境）、ISO22301（业务连续性）等标准拥有相同的核心章节编号和核心术语。
📌 HLS的10个核心章节（ISO27001:2022）
💡 内审员提示：HLS使得多体系整合审核成为可能。例如，审核“7.5 文件化信息”时，ISO9001与ISO27001的要求几乎一致。
图3-1：ISO27001:2022 HLS核心章节结构示意
3.2 PDCA循环 —— ISMS的持续改进引擎
PDCA循环（Plan-Do-Check-Act）是ISO27001标准第6章至第10章的核心逻辑。它不是简单的线性流程，而是一个螺旋上升的持续改进模型。在ISO27001:2022中，PDCA与HLS完美融合：
🔵 Plan（策划）
对应第6章。确定ISMS范围、信息安全方针、风险评估与处置计划、信息安全目标。
🟡 Do（实施）
对应第7、8章。提供资源与支持，实施风险评估与处置，运行控制措施。
🟢 Check（检查）
对应第9章。监视、测量、分析、评价，内部审核与管理评审。
🔴 Act（改进）
对应第10章。处理不符合项，采取纠正措施，推动持续改进。
图3-2：PDCA循环与ISO27001:2022章节的对应关系
3.3 融合应用：内审员视角的PDCA+HLS
作为内审员，理解PDCA与HLS的融合是审核策划的关键。以下是一个典型的内审检查表设计思路，展示如何将PDCA逻辑应用于HLS各章节：
📋 内审检查表示例（基于PDCA+HLS）
图3-3：PDCA循环与HLS章节的融合架构（内审员审核路径）
3.4 内审员实战要点：如何利用PDCA+HLS进行审核
- ✅ 审核策划阶段：使用HLS章节作为“纵向”审核清单，同时用PDCA逻辑设计“横向”问题链。例如，审核“6.1 风险评估”时，追问“Do阶段是否按计划执行了风险处置？”（跨章节追踪）。
- ✅ 现场审核阶段：对于每个过程，询问“你们是如何策划的？（P）”、“如何实施的？（D）”、“如何监控的？（C）”、“发现问题如何改进？（A）”。这能快速判断ISMS的成熟度。
- ✅ 不符合项判定：明确不符合项属于哪个PDCA阶段。例如，如果风险处置计划未执行，属于“D（实施）”阶段的缺失；如果未对风险进行再评估，属于“C（检查）”阶段的缺失。
- ✅ 持续改进证据：寻找“A（改进）”阶段的证据，如管理评审输出、纠正措施跟踪记录、ISMS绩效指标的趋势分析。这是审核报告中最具价值的发现。
3.5 常见误区澄清
📝 本节核心要点回顾
- HLS 提供了统一的10章框架，使得ISO27001与其他管理体系标准高度兼容。
- PDCA 是ISMS的持续改进引擎，对应第6章（P）、第7-8章（D）、第9章（C）、第10章（A）。
- 内审员应掌握“纵向（HLS章节）”+“横向（PDCA逻辑）”的二维审核思维。
- 审核时多问“P-D-C-A”四个环节，能快速定位体系薄弱点。