3. ISO 27001标准解读
ISO 27001是信息安全管理体系（ISMS）的核心标准，它规定了建立、实施、维护和持续改进ISMS的要求。理解其结构、核心条款以及与ISO 27002的关系，是构建合规且有效的信息安全管理体系的基石。
3.1 标准结构：基于PDCA的顶层设计
ISO 27001:2022版本采用了高层结构（HLS），与其他管理体系标准（如ISO 9001、ISO 22301）保持一致，便于整合。其核心结构遵循经典的PDCA（计划-执行-检查-处置）循环，确保体系的持续改进。
图3-1：ISO 27001 PDCA 持续改进循环模型
3.2 核心条款：从组织环境到改进
ISO 27001:2022 包含 11个条款（Clause 4-10）和 附录A（控制项）。以下是核心条款的详细解读：
| 条款编号 | 条款名称 | 核心要求 | 关键输出物 |
|---|---|---|---|
| 4 | 组织环境 | 确定内外部议题、相关方需求、ISMS范围 | 范围说明书、相关方登记册 |
| 5 | 领导作用 | 最高管理者承诺、方针制定、角色与职责分配 | 信息安全方针、岗位职责书 |
| 6 | 策划 | 风险评估与处置、安全目标制定 | 风险评估报告、风险处置计划 |
| 7 | 支持 | 资源、能力、意识、沟通、文件化信息 | 培训记录、文件控制清单 |
| 8 | 运行 | 运行策划与控制、风险评估与处置的实施 | 操作流程、变更记录 |
| 9 | 绩效评价 | 监视、测量、分析、内部审核、管理评审 | 审核报告、管理评审纪要 |
| 10 | 改进 | 不符合项纠正、持续改进 | 纠正措施记录、改进计划 |
图3-2：ISO 27001:2022 核心条款（4-10）层级结构
3.3 与ISO 27002的关系：要求 vs 指南
ISO 27001 和 ISO 27002 是互补的标准，理解它们的区别至关重要：
- ISO 27001（要求标准）：规定“做什么”（What），是可认证的标准。组织必须满足其所有“应”（shall）条款才能通过认证。
- ISO 27002（实践准则）：提供“怎么做”（How），是指南性标准。它详细解释了ISO 27001附录A中每个控制项的实施方法。
图3-3：ISO 27001 与 ISO 27002 的关系对比
3.4 附录A：控制项分类（2022版）
ISO 27001:2022 附录A 包含 93个控制项，分为 4个主题。ISO 27002 为每个控制项提供了详细的实施指南。
| 主题 | 控制项数量 | 示例控制项 | 对应ISO 27002章节 |
|---|---|---|---|
| 组织控制 | 37 | 信息安全角色与职责、供应商关系安全 | 第5章 |
| 人员控制 | 8 | 背景核查、安全意识培训、远程工作安全 | 第6章 |
| 物理控制 | 14 | 物理安全边界、设备安全处置、清洁桌面 | 第7章 |
| 技术控制 | 34 | 访问控制、加密、日志记录、漏洞管理 | 第8章 |
图3-4：ISO 27001:2022 附录A 控制项分类与数量
3.5 实践要点：如何应用这两个标准
- 先建立体系框架：依据ISO 27001条款4-10，建立ISMS的PDCA流程。
- 再选择控制项：根据风险评估结果，从附录A中选择适用的控制项。
- 参考ISO 27002实施：对于每个选定的控制项，查阅ISO 27002获取详细的实施指南和最佳实践。
- 持续改进：通过内部审核和管理评审，不断优化控制措施。
💡 专家提示： 不要试图一次性实施所有93个控制项！根据业务风险优先选择关键控制项。ISO 27002 中的“实施指南”部分提供了非常实用的检查清单，是初学者最好的学习材料。