4.2 理解相关方的需求和期望

ISO/IEC 27001:2022　4 组织环境

条款正文

组织应确定：
a)信息安全管理体系的相关方；
b)这些相关方与信息安全相关的要求；
c)哪些要求可以通过信息安全管理体系解决。
注：相关方的要求可包括法律、 法规要求和合同义务。

审核要点

• 识别相关方
• 识别相关方要求
• 识别法律法规要求
• 识别监管要求
• 识别客户要求
• 识别合同要求
• 定期更新要求
• 纳入风险管理
• 纳入体系运行
• 保持记录

审核证据示例

• 相关方分析表
• 客户合同
• 法律法规清单
• 监管要求文件
• 服务协议（SLA）
• 供应商协议
• 保密协议
• 客户安全要求清单
• 风险评估记录
• 管理评审记录

审核记录示例

查阅相关方需求和期望分析表1份。
查阅客户合同2份。
查阅法律法规清单1份。
查阅监管要求文件1份。
查阅保密协议3份。
查阅供应商管理协议2份。
访谈信息安全负责人1名。
访谈业务负责人1名。
经核实，组织已识别客户、监管机构、员工、供应商等相关方，并确定与信息安全管理体系相关的需求和期望。

高频问题清单

• 漏识别重要相关方
• 客户要求未识别
• 法规要求遗漏
• 监管要求遗漏
• 相关方分析长期未更新
• 要求未纳入体系
• 合同安全要求未落实
• 外包要求遗漏
• 无分析记录
• 仅识别客户未识别监管机构

审核公式

相关各方要识清，
安全要求记分明；
法律客户加监管，
体系运行有准绳。

审核链条

相关方识别 → 需求识别 → 合规要求确定 → 风险评估 → 控制措施实施 → 体系运行

不符合项（NC）格式

审核抽查相关方管理活动，发现组织未识别与信息安全管理体系有关的相关方，无法提供相关方需求分析记录。
无法证实组织已确定与信息安全管理体系有关的相关方及其要求。
不符合ISO/IEC 27001:2022第4.2条有关：
“组织应确定与信息安全管理体系有关的相关方以及这些相关方的相关要求。”
的要求。
审核抽查合规管理活动，发现组织未识别客户合同中的信息安全要求。
无法证实组织已确定相关方要求中的适用要求。
不符合ISO/IEC 27001:2022第4.2条有关：
“组织应确定哪些要求将通过信息安全管理体系得到应对。”
的要求。
审核抽查信息安全管理体系运行活动，发现组织未对相关方要求变化进行监视和评审。
无法证实组织已持续关注相关方需求和期望变化。
不符合ISO/IEC 27001:2022第4.2条有关：
“组织应监视和评审与相关方有关的信息及其相关要求。”
的要求。

常见问题清单

• 组织识别了哪些相关方？
• 如何确定相关方要求？
• 是否识别客户安全要求？
• 是否识别法律法规要求？
• 是否识别监管机构要求？
• 是否识别员工信息安全要求？
• 是否识别供应商安全要求？
• 如何更新相关方需求？
• 如何评价相关方要求变化？
• 如何将要求纳入ISMS？

加入检查表 →