5.3 组织的角色、责任和权限

ISO/IEC 27001:2022　5 领导

条款正文

最高管理层应确保与信息安全相关角色的责任和权限得到分配和沟通。
最高管理层应分配如责任和权限，以：
a) 确保信息安全管理体系符合本标准的要求；
b) 向最高管理层报告信息安全管理体系绩效。
注：最高管理层也可以为组织内报告信息安全管理体系绩效， 分配责任和权限。

审核要点

• 明确岗位职责
• 明确岗位权限
• 明确信息安全负责人
• 明确管理层职责
• 明确员工职责
• 明确运维职责
• 明确开发职责
• 建立职责沟通机制
• 开展履职评价
• 定期评审职责

审核证据示例

• 组织架构图
• 岗位职责说明书
• 信息安全职责分配表
• 任命文件
• 授权文件
• 绩效考核记录
• 培训记录
• 信息安全委员会文件
• 管理评审记录
• 员工访谈记录

审核记录示例

查阅组织架构图1份。
查阅岗位职责说明书3份。
查阅信息安全职责分配表1份。
查阅信息安全负责人任命文件1份。
查阅授权管理文件1份。
访谈信息安全负责人1名。
访谈系统管理员1名。
访谈运维人员1名。
经核实，组织已明确与信息安全管理体系相关的职责和权限，并进行了分配和沟通，相关人员能够说明本岗位承担的信息安全职责。

高频问题清单

• 职责不明确
• 信息安全负责人未任命
• 开发与运维职责混乱
• 权限划分不清
• 员工不清楚职责
• 职责文件与实际不符
• 无履职评价
• 新岗位未更新职责
• 信息安全责任无人承担
• 责任制流于形式

审核公式

职责权限分得清，
安全责任落实明；
人人知道做什么，
体系运行更稳定。

审核链条

组织架构建立 → 职责分配 → 权限授权 → 宣贯培训 → 履职实施 → 监督考核 → 持续优化

不符合项（NC）格式

审核抽查信息安全管理体系职责管理活动，发现组织未明确信息安全相关职责和权限，无法提供职责分工文件。
无法证实信息安全管理体系相关职责和权限已得到分配和沟通。
不符合ISO/IEC 27001:2022第5.3条有关：
“最高管理者应确保信息安全相关角色的职责和权限得到分配和沟通。”
的要求。
审核抽查访问控制管理活动，发现系统账号审批、授权和回收职责由同一人员承担。
无法证实组织已合理分配信息安全相关职责和权限。
不符合ISO/IEC 27001:2022第5.3条有关：
“最高管理者应确保职责和权限得到分配和沟通。”
的要求。
审核抽查信息安全事件管理活动，发现组织未明确信息安全事件报告和处置责任人。
无法证实组织已明确信息安全管理体系相关职责。
不符合ISO/IEC 27001:2022第5.3条有关：
“最高管理者应确保职责和权限得到分配和沟通。”
的要求。
审核抽查信息安全管理体系运行活动，发现风险评估工作长期无人负责，无法提供责任分工文件。
无法证实组织已明确信息安全管理体系运行职责。
不符合ISO/IEC 27001:2022第5.3条有关：
“最高管理者应确保职责和权限得到分配和沟通。”
的要求。
审核抽查运维管理活动，发现离职员工账号注销职责未明确，导致多个离职账号长期处于启用状态。
无法证实组织已明确并落实信息安全相关职责和权限。
不符合ISO/IEC 27001:2022第5.3条有关：
“最高管理者应确保信息安全相关角色的职责和权限得到分配和沟通。”
的要求。

常见问题清单

• 如何确定信息安全职责？
• 是否建立信息安全责任制？
• 是否明确信息安全负责人？
• 是否明确各部门职责？
• 如何向员工传达职责？
• 是否明确系统管理员职责？
• 是否明确开发人员职责？
• 是否明确运维人员职责？
• 如何评价职责履行情况？
• 职责变化如何更新？

加入检查表 →