ISO27001-2022 信息安全管理体系中文版.docxVIP

GB/T22080/IS0/IEC27001:2022

INTERNATIONALSTANDARD

ISO/IEC27001:2022Thirdedition:2022-10

=======================================================================================

Informationsecurity,cybersecurityandprivacyprotectionInformationsecuritymanagementsystems-Requirements

信息安全、网络安全、隐私保护安全管理体系-要求

=======================================================================================

目录

前言

引言

0.1总则

0.2与其他管理体系标准的兼容性

0.3交流探讨

信息安全网络安全隐私保护

信息安全管理体系要

1范围

2规范性引用文件

3术语和定

4组织环境

4.1理解组织及其环境

4.2理解相关方的需求和期望

4.3确定信息安全管理体系范围

4.4信息安全管理体

5领导作用

5.1领导作用和承诺

5.2方针

5.3组织角色、职责和权限

6策划

6.1应对风险和机遇的措

6.1.1总则

6.1.2信息安全风险评

6.1.3信息安全风险处置

6.2信息安全目标及其实现的策划

6.3变更策划

7支持

7.1资源

7.2能力

7.3意识

7.4沟通

7.5文件化信息

7.5.1总则

7.5.2创建和更新

7.5.3文件化信息的控制

8运行

8.1运行策划与控制

8.2信息安全风险评

8.3信息安全风险处置

9绩效评价

9.1监视、测量、分析和评价

9.2内部审

9.2.1总则

9.2.2内部审核方案

9.3管理评

9.3.1总则

9.3.2管理评审输入

9.3.3管理评审结果

10改进

10.1持续改进

10.2不符合和纠正措施

附录A(规范性附录)信息安全控制参考

参考文

前言

ISO(国际标准化组织)和IEC(国际电工委员会)构成了世界标准化特定体系。作为ISO或IEC成员的国家机构通过各自组织为处理特定技术活动领域而设立的技术委员会参与制定国际标准。ISO和IEC技术委员会在共同关心的领域合作。与ISO/IEC联络的其他国际组织、政府或非政府组织也参与了这项工作

本文件及后续的开发与保持过程运用ISO/IEC指令第1部分，特别注意的是，不同类型的文件需要不同的批准标准。本文件是按照ISO/IEC指令第2部分的编辑规则起草的(见/directivesorwww.iec.ch/membersexperts/refdocs)。

注意本文件中的某些要素可能涉及到专利权的主题。ISO和IEC不负责识别任何或所有的这些专利权。在文件编制时确定的任何专利权的细节会在专利声明和或在ISO专利清单中获取(见/patents)或IEC专利清单(见https://patents.iec.ch)。

在本文件中使用的任何商品名都是为了方便用户而提供的信息，并不构成背书。

关于标准自愿性质的解释、ISO特定术语和合格评定的相关表达的含义、以及关于在技术性贸易壁垒(TBT)中遵守世界贸易组织(WTO)原则的信息见/iso/foreword.html，在IEC，见www.iec.ch/understanding-standards.

本文件由ISO/IECJTC1技术委员会SC27，信息安全、网络安全和隐私保护信息技术分委员会编写。

第三版文件经过技术性修订，取消和替代了第二版(ISO/IEC27001:2013)，也包括ISO/IEC27001:2013/C或-1:2014及ISO/IEC27001:2013/C或-2:2015的一些技术性勘误。

主要修订如下:

文本与管理体系标准的协调结构及IS0/IEC27002:2022保持一致。

本文件的任何反馈与问题宜直接与用户的国家标准机构联络。这些成员的完整列表可

在/members.html或www.iec.ch/national-committees_查找。

引言

0.1总则

本文件提供了建立、实施、维护和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略决策。组织信息安全管理体系的建立和实施受组织的需求和目标、信息安全要求、组织使用的过程、规模和结构的影响。所有这些影响因素都会随着时间而发生变化。

信息安全管理体系通过实施风险管理过程来保持信息的必威体育官网网址性、完整性和可用性，并为相关方树立风险得到充分管理的信心。

重要的是，信息安全管理体系