7.2 能力

ISO/IEC 27001:2022　7 支持

条款正文

7.2 能力
组织应:
a) 确定在组织控制下从事会影响组织信息安全绩效的工作人员的必要能力;
b) 确保上述人员在适当的教育、培训或经验的基础上能够胜任其工作;
c) 适用时,采取措施以获得必要的能力,并评估所采取措施的有效性;
d) 保留适当的文件化信息作为能力的证据。
注:适用的措施可包括,例如针对现有雇员提供培训、指导或重新分配;雇佣或签约有能力的人
员。

审核要点

• 明确岗位能力要求
• 建立能力评价机制
• 开展培训
• 评价培训效果
• 关注关键岗位
• 关注开发运维人员
• 关注管理员账号人员
• 管理外包人员能力
• 保存能力记录
• 持续提升能力

审核证据示例

• 岗位能力要求文件
• 培训计划
• 培训教材
• 培训签到表
• 培训考试记录
• 信息安全资格证书
• CISP证书（适用时）
• CISSP证书（适用时）
• 新员工培训记录
• 外包人员培训记录

审核记录示例

查阅岗位能力要求文件1份。
查阅年度培训计划1份。
查阅信息安全培训记录3份。
查阅培训考试记录3份。
查阅新员工培训记录2份。
查阅外包人员培训记录1份。
查阅信息安全资格证书2份。
访谈信息安全负责人1名。
访谈运维工程师1名。
经核实，组织已确定从事信息安全相关工作的人员能力要求，并通过培训等方式确保其具备必要能力。

高频问题清单

• 未明确能力要求
• 培训计划缺失
• 培训流于形式
• 无考试记录
• 无培训效果评价
• 外包人员未培训
• 新员工未培训
• 运维人员能力不足
• 开发人员安全意识不足
• 能力记录不完整

审核公式

岗位能力先确定，
培训考核都跟进；
持证上岗懂安全，
体系运行更稳定。

审核链条

岗位识别 → 能力要求确定 → 培训实施 → 效果评价 → 能力提升 → 持续改进

不符合项（NC）格式

审核抽查信息安全培训活动，发现组织无法提供信息安全培训记录及培训效果评价记录。
无法证实组织已确保从事影响信息安全工作的人员具备必要能力。
不符合ISO/IEC 27001:2022第7.2条有关：
“组织应保留适当的成文信息作为能力证据。”
的要求。
审核抽查培训管理活动，发现系统管理员未经信息安全培训即独立开展运维工作。
无法证实组织已确保相关人员具备必要能力。
不符合ISO/IEC 27001:2022第7.2条有关：
“组织应确保这些人员基于适当教育、培训或经验而具备能力。”
的要求。
审核抽查培训管理活动，发现组织虽开展信息安全培训，但未评价培训效果。
无法证实组织已评价提升能力措施的有效性。
不符合ISO/IEC 27001:2022第7.2条有关：
“适用时，采取措施获得所需能力，并评价所采取措施的有效性。”
的要求。
审核抽查开发管理活动，发现开发人员不了解安全编码规范要求。
无法证实组织已确保相关人员具备履行信息安全职责所需能力。
不符合ISO/IEC 27001:2022第7.2条有关：
“组织应确保这些人员具备能力。”
的要求。

常见问题清单

• 如何确定信息安全岗位能力要求？
• 是否建立能力评价机制？
• 如何开展信息安全培训？
• 是否开展网络安全培训？
• 是否开展开发安全培训？
• 是否开展运维安全培训？
• 如何评价培训效果？
• 外包人员是否纳入管理？
• 新员工如何开展培训？
• 能力不足时如何处理？

加入检查表 →