4.4 信息安全管理体系

ISO/IEC 27001:2022　4 组织环境

条款正文

组织应按照本标准的要求，建立、实现、维护和持续改进信息安全管理体, 包括
所需的过程及其相互作用。

审核要点

• 建立ISMS
• 明确体系过程
• 确定过程接口
• 风险管理机制建立
• 控制措施实施
• 文件化管理
• 绩效评价
• 内部审核
• 管理评审
• 持续改进

审核证据示例

• ISMS手册
• 过程关系图
• 风险评估报告
• 风险处置计划
• 适用性声明（SoA）
• 管理制度文件
• 内审报告
• 管理评审报告
• 改进记录
• 信息安全目标

审核记录示例

查阅信息安全管理手册1份。
查阅信息安全管理体系过程图1份。
查阅风险评估报告1份。
查阅风险处置计划1份。
查阅适用性声明（SoA）1份。
查阅信息安全目标1份。
查阅内部审核报告1份。
查阅管理评审报告1份。
访谈信息安全负责人1名。
经核实，组织依据ISO/IEC 27001:2022标准建立、实施、保持并持续改进信息安全管理体系，相关过程得到识别和管理。

高频问题清单

• ISMS未完整建立
• 过程识别不完整
• 风险评估缺失
• SoA缺失
• 控制措施未落实
• 内审未开展
• 管理评审未开展
• 文件不完整
• 改进机制缺失
• 体系运行流于形式

审核公式

体系建立按标准，
过程管理是关键；
风险控制加改进，
安全运行保长远。

审核链条

范围确定 → 过程识别 → 风险评估 → 风险处置 → 控制措施实施 → 绩效评价 → 持续改进

不符合项（NC）格式

审核抽查信息安全管理体系建设活动，发现组织未建立风险评估、风险处置等关键过程。
无法证实组织已按照标准要求建立信息安全管理体系。
不符合ISO/IEC 27001:2022第4.4条有关：
“组织应按照本文件要求建立、实施、保持和持续改进信息安全管理体系。”
的要求。

常见问题清单

• 是否建立ISMS？
• 是否识别ISMS过程？
• 是否明确过程顺序和接口？
• 是否建立风险管理机制？
• 是否建立控制措施？
• 是否监视体系绩效？
• 是否开展内审？
• 是否开展管理评审？
• 是否持续改进体系？
• 如何保证体系有效运行？

加入检查表 →