5.2 方针

ISO/IEC 27001:2022　5 领导

条款正文

最高管理层应建立信息安全方针，该方针应：
a. 与组织意图相适宜；
b. 包括信息安全目标(见 6.2)或为为设定信息安全目标提供框架；
c. 包括对满足适用的信息安全相关要求的承诺；
d. 包括对持续改进信息安全管理体系的承诺。
信息安全的方针应：
e. 形成文件化信息并可用；
f. 在组织内得到沟通；
g. 适当时，对相关方可用。

审核要点

• 建立信息安全方针
• 与组织战略一致
• 提供目标框架
• 包含持续改进承诺
• 获得批准
• 得到沟通
• 易于获取
• 全员理解
• 定期评审
• 持续适宜

审核证据示例

• 信息安全方针文件
• 方针发布记录
• 培训记录
• 宣贯记录
• 新员工培训资料
• 网站公告资料
• 管理评审记录
• 信息安全目标
• 员工访谈记录
• 宣传资料

审核记录示例

查阅信息安全方针文件1份。
查阅方针发布记录1份。
查阅信息安全培训记录2份。
查阅新员工培训资料1份。
现场查看信息安全方针公示情况。
访谈员工3名。
访谈信息安全负责人1名。
经核实，组织建立并发布信息安全方针，能够为信息安全目标提供框架，并已在组织内部得到沟通和理解。

高频问题清单

• 方针内容不完整
• 未体现持续改进
• 与战略不一致
• 员工不了解方针
• 方针未发布
• 长期未更新
• 未提供目标框架
• 培训缺失
• 方针流于形式
• 无批准记录

审核公式

安全方针方向明，
全员遵守记心中；
风险控制加改进，
体系运行见真功。

审核链条

战略规划 → 信息安全方针制定 → 批准发布 → 宣贯培训 → 目标制定 → 体系运行

不符合项（NC）格式

审核抽查员工访谈活动，发现系统管理员、开发人员均不了解信息安全方针内容。
无法证实组织已确保信息安全方针得到有效传达和理解。
不符合ISO/IEC 27001:2022第5.2条有关：
“信息安全方针应在组织内得到沟通。”
的要求。
审核抽查信息安全方针管理活动，发现信息安全方针长期未评审更新，与组织业务现状不符。
无法证实组织已保持适宜的信息安全方针。
不符合ISO/IEC 27001:2022第5.2条有关：
“信息安全方针应适合组织宗旨。”
的要求。

常见问题清单

• 是否建立信息安全方针？
• 方针由谁批准？
• 方针制定依据是什么？
• 是否与组织战略一致？
• 是否包括信息安全目标框架？
• 是否包含持续改进承诺？
• 如何向员工传达方针？
• 员工是否理解方针？
• 方针如何定期评审？
• 如何保证方针持续适宜？

加入检查表 →