7.1 资源

ISO/IEC 27001:2022　7 支持

条款正文

组织应确定并提供建立、实现、维护和持续改进信息安全管理体系所需的资源。

审核要点

• 识别资源需求
• 配备信息安全人员
• 配置安全技术资源
• 配置安全管理资源
• 提供资金支持
• 满足业务需求
• 满足风险控制需求
• 定期评价资源充分性
• 管理资源变更
• 支撑ISMS运行

审核证据示例

• 信息安全组织架构图
• 信息安全岗位设置文件
• 年度预算文件
• 资源需求分析报告
• 防火墙配置资料
• 堡垒机配置资料
• VPN管理资料
• 日志审计系统资料
• 备份系统资料
• 管理评审记录

审核记录示例

查阅信息安全组织架构图1份。
查阅信息安全岗位设置文件1份。
查阅年度信息安全预算文件1份。
查阅资源需求分析报告1份。
查阅堡垒机管理资料1份。
查阅日志审计系统运行记录1份。
查阅备份管理记录2份。
访谈信息安全负责人1名。
访谈系统管理员1名。
经核实，组织能够确定并提供建立、实施、保持和持续改进信息安全管理体系所需资源，包括人员、设备、系统平台和预算支持。

高频问题清单

• 安全人员不足
• 安全预算不足
• 日志审计缺失
• 漏洞扫描工具缺失
• 堡垒机未部署
• 核心系统无备份
• 安全资源长期未评估
• 技术措施落后
• 风险与资源不匹配
• 资源投入不足

审核公式

安全资源要保障，
人财物技都跟上；
设备系统加平台，
体系运行有力量。

审核链条

风险评估 → 资源需求分析 → 资源配置 → 安全措施实施 → 体系运行 → 绩效评价 → 持续改进

不符合项（NC）格式

审核抽查安全运维活动，发现组织服务器数量持续增长，但未同步增加安全管理资源，导致日志长期未审查。
无法证实组织已提供信息安全管理体系有效运行所需资源。
不符合ISO/IEC 27001:2022第7.1条有关：
“组织应确定并提供建立、实施、保持和持续改进信息安全管理体系所需的资源。”
的要求。
审核抽查网络安全管理活动，发现组织未配置日志审计系统，无法满足安全事件追溯要求。
无法证实组织已提供信息安全管理体系运行所需资源。
不符合ISO/IEC 27001:2022第7.1条有关：
“组织应确定并提供建立、实施、保持和持续改进信息安全管理体系所需的资源。”
的要求。
审核抽查漏洞管理活动，发现组织未采购漏洞扫描工具，也未委托第三方开展漏洞扫描。
无法证实组织已提供信息安全风险管理所需资源。
不符合ISO/IEC 27001:2022第7.1条有关：
“组织应确定并提供建立、实施、保持和持续改进信息安全管理体系所需的资源。”
的要求。

常见问题清单

• 组织如何确定信息安全资源需求？
• 是否配备信息安全管理人员？
• 是否配置网络安全设备？
• 是否建立日志审计系统？
• 是否配置漏洞扫描工具？
• 是否配置堡垒机系统？
• 是否配置备份系统？
• 是否为信息安全提供预算支持？
• 如何评价资源是否充分？
• 资源不足时如何处理？

加入检查表 →