5.1 领导和承诺

ISO/IEC 27001:2022　5 领导

条款正文

最高管理层应通过以下活动，证实对信息安全管理体系的领导和承诺：
a) 确保建立了信息安全策略和信息安全目标，并与组织战略方向一致；
b) 确保将信息安全管理体系要求整合到组织过程中；
c) 确保信息安全管理体系所需资源可用；
d) 沟通有效的信息安全管理及符合信息安全管理体系要求的重要性；
e) 确保信息安全管理体系达到预期的结果；
f) 指导并支持相关人员为信息安全管理体系的有效性做出贡献；
g) 促进持续改进；
h) 支持其他相关管理角色，以证实他们的领导按角色应用于其责任范围。
注：本文件中提及的“业务” 可广义解释为指组织存在目的的核心活动。

审核要点

• 履行领导责任
• ISMS融入业务
• 提供资源支持
• 推动风险管理
• 支持信息安全管理
• 建立信息安全文化
• 明确职责要求
• 推动持续改进
• 确保目标实现
• 提升体系有效性

审核证据示例

• 信息安全方针
• 信息安全目标
• 管理评审记录
• 信息安全委员会会议纪要
• 信息安全工作报告
• 风险评估报告
• 资源配置记录
• 年度预算
• 组织架构图
• 绩效考核资料

审核记录示例

查阅信息安全方针1份。
查阅信息安全目标1份。
查阅管理评审报告1份。
查阅信息安全委员会会议纪要2份。
查阅风险评估报告1份。
查阅资源投入预算资料1份。
访谈最高管理者1名。
访谈信息安全负责人1名。
经核实，最高管理者能够对信息安全管理体系有效性承担责任，通过资源配置、风险管理、绩效评价及持续改进等方式履行领导作用和承诺。

高频问题清单

• 管理层参与不足
• 资源投入不足
• ISMS与业务脱节
• 信息安全仅由IT部门负责
• 风险管理未推动
• 信息安全目标无人关注
• 管理评审流于形式
• 职责落实不到位
• 缺少持续改进证据
• 信息安全文化薄弱

审核公式

安全责任领导扛，
资源支持要跟上；
风险治理抓落实，
持续改进有方向。

审核链条

领导承诺 → 信息安全方针 → 资源配置 → 风险管理 → 体系运行 → 绩效评价 → 持续改进

不符合项（NC）格式

审核抽查信息安全管理体系管理活动，发现最高管理者连续两年未参加信息安全管理体系管理评审活动，无法提供相关会议记录或决策证据。
无法证实最高管理者已对信息安全管理体系的有效性承担责任。
不符合ISO/IEC 27001:2022第5.1条有关：
“最高管理者应确保信息安全管理体系实现其预期结果。”
的要求。
审核抽查信息安全资源管理活动，发现组织未为漏洞扫描、日志审计等信息安全活动配置必要资源。
无法证实最高管理者已确保信息安全管理体系所需资源可获得。
不符合ISO/IEC 27001:2022第5.1条有关：
“确保信息安全管理体系所需资源可获得。”
的要求。
审核抽查信息安全管理体系运行活动，发现组织业务部门未执行信息安全管理制度要求，且管理层未采取措施推动落实。
无法证实最高管理者已确保信息安全管理体系要求融入组织过程。
不符合ISO/IEC 27001:2022第5.1条有关：
“确保信息安全管理体系要求融入组织过程。”
的要求。
审核抽查信息安全改进活动，发现近两年内部审核和管理评审提出的信息安全改进事项长期未关闭。
无法证实最高管理者已推动信息安全管理体系持续改进。
不符合ISO/IEC 27001:2022第5.1条有关：
“促进持续改进。”
的要求。
审核抽查信息安全管理活动，发现组织发生多起高危漏洞长期未修复情况，管理层未组织专项整改。
无法证实最高管理者已支持信息安全管理体系有效运行。
不符合ISO/IEC 27001:2022第5.1条有关：
“最高管理者应展示其对信息安全管理体系的领导作用和承诺。”
的要求。

常见问题清单

• 最高管理者如何体现信息安全领导作用？
• 如何确保ISMS融入业务过程？
• 如何提供信息安全资源？
• 如何支持信息安全管理人员工作？
• 如何推动风险管理？
• 如何确保信息安全目标实现？
• 如何开展信息安全沟通？
• 如何推动持续改进？
• 如何评价ISMS有效性？
• 请举例说明最高管理者参与信息安全管理活动情况。

加入检查表 →