7.3 意识

ISO/IEC 27001:2022　7 支持

条款正文

在组织控制下工作的人员应知道:
a) 信息安全方针;
b) 其对信息安全管理体系有效性的贡献，包括改进信息安全绩效带来的益处;
c) 不符合信息安全管理体系要求带来的影响.

审核要点

• 方针意识
• 职责意识
• 风险意识
• 数据保护意识
• 网络安全意识
• 密码安全意识
• 钓鱼邮件防范意识
• 外包人员意识
• 宣传教育机制
• 效果评价机制

审核证据示例

• 信息安全宣传资料
• 安全月活动记录
• 培训记录
• 考试记录
• 钓鱼邮件演练记录
• 宣传海报
• 微信宣传记录
• 新员工培训资料
• 外包培训记录
• 访谈记录

审核记录示例

查阅信息安全宣传计划1份。
查阅培训记录2份。
查阅钓鱼邮件演练记录1份。
查阅考试记录2份。
现场查看宣传栏1处。
访谈员工3名。
访谈外包人员1名。
经核实，组织通过培训、宣传和演练等方式提升员工信息安全意识，相关人员能够说明信息安全方针、职责和违规后果。

高频问题清单

• 员工不知方针
• 员工不知职责
• 宣传活动缺失
• 钓鱼演练未开展
• 宣传频率不足
• 培训无效果验证
• 外包人员遗漏
• 新员工未培训
• 宣传流于形式
• 无意识评价机制

审核公式

安全意识天天讲，
违规操作要提防；
人人都是防火墙，
数据安全有保障。

审核链条

方针发布 → 宣传培训 → 意识提升 → 行为规范 → 绩效提升 → 持续改进

不符合项（NC）格式

审核抽查员工访谈活动，发现开发人员将生产环境账号密码记录于个人笔记本中。
无法证实组织已确保员工具备必要的信息安全意识。
不符合ISO/IEC 27001:2022第7.3条有关：
“在组织控制下工作的人员应知晓信息安全要求。”
的要求。
审核抽查员工访谈活动，发现相关岗位人员不了解其信息安全职责。
无法证实组织已确保员工知晓其对信息安全管理体系有效性的贡献。
不符合ISO/IEC 27001:2022第7.3条有关：
“人员应知晓其对信息安全管理体系有效性的贡献。”
的要求。
审核抽查信息安全宣贯活动，发现员工不了解违反信息安全要求可能产生的后果。
无法证实组织已确保员工具备必要的信息安全意识。
不符合ISO/IEC 27001:2022第7.3条有关：
“人员应知晓不符合信息安全管理体系要求的影响。”
的要求。

常见问题清单

• 如何开展信息安全意识教育？
• 员工是否了解信息安全方针？
• 员工是否了解安全职责？
• 是否开展钓鱼邮件演练？
• 是否开展数据安全宣传？
• 是否开展密码安全宣传？
• 如何评价意识提升效果？
• 新员工如何接受安全教育？
• 外包人员是否纳入意识管理？
• 如何应对意识不足问题？

加入检查表 →