10.1 持续改进

ISO/IEC 27001:2022　10 改进

条款正文

10.1 持续改进
组织应持续改进信息安全管理体系的适宜性、充分性和有效性。

审核要点

• 建立持续改进机制
• 识别改进机会
• 利用内审结果改进
• 利用管理评审结果改进
• 利用风险评估结果改进
• 利用安全事件改进
• 利用绩效评价改进
• 跟踪改进效果
• 提升体系有效性
• 提升信息安全绩效

审核证据示例

• 持续改进管理记录
• 信息安全改进项目资料
• 管理评审记录
• 内审报告
• 风险评估报告
• 漏洞分析报告
• 安全事件分析报告
• 改进措施实施记录
• 效果验证记录
• 年度信息安全工作总结

审核记录示例

查阅年度信息安全工作总结1份。
查阅持续改进项目资料2份。
查阅管理评审记录1份。
查阅内部审核报告1份。
查阅漏洞分析报告1份。
查阅安全事件分析报告1份。
查阅改进措施实施记录3份。
查阅效果验证记录3份。
访谈信息安全负责人1名。
经核实，组织能够利用内部审核、管理评审、风险评估、安全事件及漏洞管理等活动发现改进机会，并持续提升信息安全管理体系有效性和信息安全绩效。

高频问题清单

• 无持续改进证据
• 改进项目长期停滞
• 改进措施未落实
• 改进效果未评价
• 内审问题重复发生
• 漏洞反复出现
• 安全事件反复发生
• 管理评审无改进措施
• 改进活动流于形式
• 无改进成果

审核公式

安全管理不停步，
持续改进有出处；
发现问题快提升，
体系成熟上高度。

审核链条

绩效评价 → 问题发现 → 改进机会识别 → 制定措施 → 实施改进 → 效果验证 → 持续优化

不符合项（NC）格式

审核抽查信息安全管理体系改进活动，发现组织近两年未开展信息安全管理体系改进活动，无法提供改进记录。
无法证实组织已持续改进信息安全管理体系的适宜性、充分性和有效性。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。
审核抽查信息安全管理活动，发现组织连续两年发生同类信息安全问题，但未采取系统性改进措施。
无法证实组织已持续改进信息安全管理体系运行绩效。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。
审核抽查管理评审活动，发现管理评审提出的信息安全改进事项长期未落实。
无法证实组织已利用改进机会持续提升信息安全管理体系绩效。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。
审核抽查信息安全目标管理活动，发现组织连续多个周期未达成信息安全目标，且未采取改进措施。
无法证实组织已持续提升信息安全管理体系运行效果。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。
审核抽查漏洞管理活动，发现组织连续发生同类高危漏洞问题，整改措施均为临时修复，未形成长效管理机制。
无法证实组织已持续改进信息安全管理体系。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。
审核抽查信息安全管理体系运行活动，发现组织虽建立信息安全管理体系，但近三年未见任何体系优化、流程优化或控制措施改进记录。
无法证实组织已持续改进信息安全管理体系的有效性。
不符合ISO/IEC 27001:2022第10.1条有关：
“组织应持续改进信息安全管理体系的适宜性、充分性和有效性。”
的要求。

常见问题清单

• 如何开展信息安全持续改进？
• 如何识别改进机会？
• 如何利用内审结果改进？
• 如何利用管理评审结果改进？
• 如何利用安全事件改进？
• 如何利用漏洞管理改进？
• 如何利用绩效评价改进？
• 是否建立持续改进机制？
• 如何评价改进效果？
• 请举例说明近年信息安全改进项目。

加入检查表 →