3、ISO 27001标准解读：标准结构、核心条款、与ISO 27002的关系

3.1 标准结构：基于PDCA的顶层设计

ISO 27001:2022版本采用了高层结构（HLS），与其他管理体系标准（如ISO 9001、ISO 22301）保持一致，便于整合。其核心结构遵循经典的PDCA（计划-执行-检查-处置）循环，确保体系的持续改进。

3.2 核心条款：从组织环境到改进

ISO 27001:2022 包含 11个条款（Clause 4-10）和 附录A（控制项）。以下是核心条款的详细解读：

条款编号	条款名称	核心要求	关键输出物
4	组织环境	确定内外部议题、相关方需求、ISMS范围	范围说明书、相关方登记册
5	领导作用	最高管理者承诺、方针制定、角色与职责分配	信息安全方针、岗位职责书
6	策划	风险评估与处置、安全目标制定	风险评估报告、风险处置计划
7	支持	资源、能力、意识、沟通、文件化信息	培训记录、文件控制清单
8	运行	运行策划与控制、风险评估与处置的实施	操作流程、变更记录
9	绩效评价	监视、测量、分析、内部审核、管理评审	审核报告、管理评审纪要
10	改进	不符合项纠正、持续改进	纠正措施记录、改进计划

3.3 与ISO 27002的关系：要求 vs 指南

ISO 27001 和 ISO 27002 是互补的标准，理解它们的区别至关重要：

• ISO 27001（要求标准）：规定“做什么”（What），是可认证的标准。组织必须满足其所有“应”（shall）条款才能通过认证。
• ISO 27002（实践准则）：提供“怎么做”（How），是指南性标准。它详细解释了ISO 27001附录A中每个控制项的实施方法。

3.4 附录A：控制项分类（2022版）

ISO 27001:2022 附录A 包含 93个控制项，分为 4个主题。ISO 27002 为每个控制项提供了详细的实施指南。

主题	控制项数量	示例控制项	对应ISO 27002章节
组织控制	37	信息安全角色与职责、供应商关系安全	第5章
人员控制	8	背景核查、安全意识培训、远程工作安全	第6章
物理控制	14	物理安全边界、设备安全处置、清洁桌面	第7章
技术控制	34	访问控制、加密、日志记录、漏洞管理	第8章

3.5 实践要点：如何应用这两个标准

1. 先建立体系框架：依据ISO 27001条款4-10，建立ISMS的PDCA流程。
2. 再选择控制项：根据风险评估结果，从附录A中选择适用的控制项。
3. 参考ISO 27002实施：对于每个选定的控制项，查阅ISO 27002获取详细的实施指南和最佳实践。
4. 持续改进：通过内部审核和管理评审，不断优化控制措施。