4.3 确定 ISMS 的范围

ISO/IEC 27001:2022　4 组织环境

条款正文

组织应确定信息安全管理体系的边界及其适用性，以建立其范围。
在确定范围时，组织应考虑：
a)4.1 中提到的外部和内部事项；
b)4.2 提到的要求；
c)组织实施的活动之间的及其与其他组织实施的活动之间的接口和依赖关系。
该范围应形成文件化信息并可用。

审核要点

• 明确组织边界
• 明确业务边界
• 明确地点边界
• 明确资产边界
• 明确技术边界
• 考虑外包活动
• 考虑云服务
• 范围形成文件
• 范围合理完整
• 定期评审更新

审核证据示例

• ISMS范围声明
• 组织架构图
• 业务流程图
• 网络拓扑图
• 资产清单
• 云服务说明
• 数据中心资料
• 外包管理资料
• 管理评审记录
• 认证范围文件

审核记录示例

查阅信息安全管理体系范围声明1份。
查阅组织架构图1份。
查阅业务流程图1份。
查阅资产清单1份。
查阅网络拓扑图1份。
查阅云服务管理资料1份。
查阅外包服务管理资料1份。
访谈信息安全负责人1名。
经核实，组织已确定信息安全管理体系范围，明确组织边界、业务边界、地点边界及技术边界，并形成文件化信息。

高频问题清单

• 范围定义模糊
• 业务边界不清
• 云平台遗漏
• 数据中心遗漏
• 外包活动遗漏
• 范围与实际不符
• 范围长期未更新
• 范围过小
• 范围描述不完整
• 无形成文件信息

审核公式

范围边界要划清，
业务资产要分明；
组织地点全覆盖，
审核认证才可行。

审核链条

组织分析 → 业务分析 → 资产识别 → 范围确定 → 范围批准 → 风险评估 → 体系运行

不符合项（NC）格式

审核抽查信息安全管理体系文件，发现组织未形成信息安全管理体系范围文件。
无法证实组织已确定信息安全管理体系边界和适用性。
不符合ISO/IEC 27001:2022第4.3条有关：
“组织应确定信息安全管理体系的边界和适用性，以确定其范围。”
的要求。
审核抽查信息安全管理体系范围管理活动，发现组织将核心业务系统排除在信息安全管理体系范围之外，但未说明理由。
无法证实组织已充分考虑组织活动及其接口和依赖关系。
不符合ISO/IEC 27001:2022第4.3条有关：
“在确定范围时，组织应考虑4.1所提及的内外部问题、4.2所提及的要求以及组织活动之间的接口和依赖关系。”
的要求。
审核抽查信息安全管理体系范围管理活动，发现体系范围描述与实际业务范围不一致。
无法证实组织已合理确定信息安全管理体系范围。
不符合ISO/IEC 27001:2022第4.3条有关：
“范围应作为成文信息可获得。”
的要求。
审核抽查信息安全管理体系范围管理活动，发现组织数据中心纳入体系范围，但相关云平台系统未纳入管理范围且未说明依据。
无法证实组织已充分考虑组织活动之间的接口和依赖关系。
不符合ISO/IEC 27001:2022第4.3条有关：
“组织应考虑组织活动之间的接口和依赖关系。”
的要求。

常见问题清单

• ISMS范围如何确定？
• 是否考虑组织边界？
• 是否考虑业务边界？
• 是否考虑办公场所？
• 是否考虑数据中心？
• 是否考虑云服务环境？
• 是否考虑外包服务？
• 范围是否形成文件？
• 范围变更如何管理？
• 是否定期评审范围适宜性？

加入检查表 →