10.2 不符合及纠正措施

ISO/IEC 27001:2022　10 改进

条款正文

10.2 不符合及纠正措施
a) 当发生不符合时,组织应:
对不符合做出反应,适用时:
1）采取措施,以控制并予以纠正；
2）处理后果;
b) 通过以下活动,评价采取消除不符合原因的措施的需求,以防止不符合再发生,或
在其他地方发生:
1）评审不符合,
2）确定不符合的原因;
3）确定类似的不符合是否存在,或可能发生,
c) 实施任何需要的措施;
d) 评审任何所采取的纠正措施的有效性,
e) 必要时,对信息安全管理体系进行变更。
纠正措施应与所遇到的不符合的影响相适合。
纽织应保留文件化信息作为以下方面的证据:
f) 不符合的性质及所采取的任何后续措施,
g) 任何纠正措施的结果。

审核要点

• 不符合识别
• 不符合控制
• 原因分析
• 制定纠正措施
• 实施整改
• 效果验证
• 防止再次发生
• 形成闭环管理
• 更新风险评估
• 保存记录

审核证据示例

• 不符合管理程序

审核记录示例

查阅不符合管理程序1份。

高频问题清单

• 未分析原因
• 原因分析流于形式
• 纠正措施不充分
• 整改超期未完成
• 效果未验证
• 问题反复发生
• 无整改记录
• 风险未重新评估
• 安全事件未闭环
• 漏洞整改长期拖延

审核公式

发现问题找原因，
整改措施要扎根；
验证效果防再犯，
形成闭环见真金。

审核链条

发现不符合 → 采取控制措施 → 原因分析 → 制定纠正措施 → 实施整改 → 效果验证 → 风险更新 → 防止再发生

不符合项（NC）格式

• 原因分析记录
• 纠正措施记录
• 整改实施记录
• 效果验证记录
• 安全事件调查报告
• 漏洞整改记录
• 数据泄露整改记录
• 管理评审记录
查阅原因分析记录3份。
查阅纠正措施记录3份。
查阅整改实施记录3份。
查阅整改效果验证记录3份。
查阅漏洞整改记录2份。
查阅安全事件调查报告1份。
访谈信息安全负责人1名。
经核实，组织能够对信息安全管理体系运行过程中发现的不符合采取纠正措施，分析原因并验证整改效果，防止类似问题再次发生。
审核抽查信息安全事件管理活动，发现组织发生信息安全事件后未采取纠正措施。
无法证实组织已对不符合采取控制和纠正措施。
不符合ISO/IEC 27001:2022第10.2条有关：
“当发生不符合时，组织应对不符合作出反应，并适用时采取措施控制和纠正不符合。”
的要求。
审核抽查内部审核整改活动，发现内部审核发现的问题长期未整改。
无法证实组织已针对不符合采取纠正措施。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应实施所需措施，以消除不符合原因，防止再次发生。”
的要求。
审核抽查信息安全问题整改活动，发现组织仅完成问题整改，未开展原因分析。
无法证实组织已评价消除不符合原因的需求。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应评审不符合，确定不符合原因。”
的要求。
审核抽查纠正措施管理活动，发现组织完成整改后未验证整改效果。
无法证实组织已评价纠正措施有效性。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应评审所采取纠正措施的有效性。”
的要求。
审核抽查信息安全管理活动，发现连续发生相同类型账号权限管理问题。
无法证实组织已采取措施防止不符合再次发生。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应实施所需措施，以消除不符合原因，防止再次发生。”
的要求。
审核抽查信息安全整改活动，发现组织无法提供不符合处理记录、原因分析记录及整改验证记录。
无法证实组织已保持不符合和纠正措施相关成文信息。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应保留成文信息作为不符合性质、所采取措施及纠正措施结果的证据。”
的要求。
审核抽查漏洞整改活动，发现高危漏洞整改完成后未验证整改结果。
无法证实组织已评价纠正措施有效性。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应评审所采取纠正措施的有效性。”
的要求。
审核抽查内部审核整改活动，发现组织针对审核发现的问题仅完成表面整改，未开展原因分析及有效性验证。
无法证实组织已按照要求实施纠正措施并评价其有效性。
不符合ISO/IEC 27001:2022第10.2条有关：
“组织应评审不符合，确定不符合原因，并评审所采取纠正措施的有效性。”
的要求。

常见问题清单

• 如何管理信息安全不符合？
• 如何识别不符合原因？
• 是否开展根因分析？
• 如何制定纠正措施？
• 如何验证整改效果？
• 如何防止问题再次发生？
• 安全事件如何整改？
• 漏洞问题如何整改？
• 数据泄露如何整改？
• 如何保存整改记录？

加入检查表 →