7.4 沟通

ISO/IEC 27001:2022　7 支持

条款正文

组织应确定与信息安全管理体系相关的内部和外部的沟通需求，包括：
a) 沟通什么；
b) 何时沟通；
c) 与谁沟通；
d) 如何沟通。

审核要点

• 建立沟通机制
• 明确沟通内容
• 明确沟通对象
• 明确沟通方式
• 明确责任人
• 安全事件报告机制
• 外部沟通管理
• 客户沟通管理
• 监管沟通管理
• 保存记录

审核证据示例

• 沟通管理程序
• 信息安全会议记录
• 邮件通知记录
• 安全事件报告记录
• 客户通知记录
• 监管报告记录
• 应急预案
• 应急演练记录
• 通讯录
• 工作群通知记录

审核记录示例

查阅沟通管理程序1份。
查阅信息安全会议纪要2份。
查阅邮件通知记录3份。
查阅安全事件报告记录1份。
查阅应急预案1份。
查阅应急演练记录1份。
访谈信息安全负责人1名。
访谈运维人员1名。
经核实，组织已建立信息安全内部和外部沟通机制，明确沟通内容、方式、责任人及记录要求。

高频问题清单

• 无沟通机制
• 无事件报告流程
• 职责不明确
• 沟通记录缺失
• 客户通知机制缺失
• 应急沟通机制缺失
• 监管报告机制缺失
• 信息传递不及时
• 敏感信息泄露
• 外部发言无授权

审核公式

安全沟通要顺畅，
内外信息传四方；
出了事件快报告，
统一协调保安康。

审核链条

沟通需求识别 → 沟通机制建立 → 信息传递 → 事件报告 → 协调处理 → 记录保存

不符合项（NC）格式

审核抽查信息安全沟通活动，发现组织未建立信息安全沟通机制。
无法证实组织已确定信息安全管理体系相关沟通过程。
不符合ISO/IEC 27001:2022第7.4条有关：
“组织应确定与信息安全管理体系有关的内部和外部沟通需求。”
的要求。
审核抽查信息安全事件管理活动，发现组织发生信息安全事件后未向相关管理层报告。
无法证实组织已实施信息安全沟通过程。
不符合ISO/IEC 27001:2022第7.4条有关：
“组织应确定沟通什么、何时沟通、与谁沟通以及如何沟通。”
的要求。
审核抽查供应商安全管理活动，发现组织未向外包服务商传达信息安全要求。
无法证实组织已实施必要的信息安全外部沟通。
不符合ISO/IEC 27001:2022第7.4条有关：
“组织应确定与信息安全管理体系有关的内部和外部沟通需求。”
的要求。
审核抽查漏洞管理活动，发现高危漏洞发现后未及时通知系统责任部门处理。
无法证实组织已建立有效的信息安全沟通机制。
不符合ISO/IEC 27001:2022第7.4条有关：
“组织应确定沟通什么、何时沟通、与谁沟通以及如何沟通。”
的要求。

常见问题清单

• 是否建立信息安全沟通机制？
• 如何开展内部沟通？
• 如何开展外部沟通？
• 安全事件如何报告？
• 如何向客户报告安全事件？
• 如何向监管机构报告？
• 谁负责对外沟通？
• 是否建立应急沟通机制？
• 如何管理敏感信息传播？
• 是否保存沟通记录？

加入检查表 →