A.6.3 信息安全意识、教育和培训

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.3 信息安全意识、教育和培训
组织和相关方人员应接受与工作职能相关的适当的信息安全意识、教育和培训，并定期更新组织的信息安全政策、特定主题的政策和程序。

审核要点

• 培训制度建立
• 培训计划制定
• 新员工培训
• 全员培训
• 专项培训
• 培训考核
• 意识提升
• 培训覆盖率
• 保持培训记录
• 持续改进

审核证据示例

• 培训制度
• 年度培训计划
• 培训教材
• 培训签到表
• 培训照片
• 考试记录
• 培训评估记录
• 钓鱼演练记录
• 培训台账
• 改进记录

审核记录示例

查阅信息安全培训制度1份。
查阅年度培训计划1份。
查阅培训签到记录3份。
查阅考试记录3份。
查阅钓鱼邮件演练记录1份。
访谈员工3名。
经核实，组织定期开展信息安全意识培训，并对培训效果进行评价。

高频问题清单

• 长期未培训
• 培训无考核
• 培训流于形式
• 培训记录缺失
• 新员工未培训
• 外包人员遗漏
• 内容长期未更新
• 覆盖率不足
• 员工意识薄弱
• 无效果验证

审核公式

安全意识常提醒，
教育培训不停顿；
人人了解安全责，
风险事件少发生。

审核链条

制定计划 → 开展培训 → 培训考核 → 效果评价 → 持续改进

不符合项（NC）格式

审核抽查信息安全培训活动，发现组织本年度未开展信息安全培训。
无法证实组织已确保相关人员具备必要的信息安全意识。
不符合ISO/IEC 27001:2022附录A.6.3有关：
“人员应接受适当的信息安全意识、教育和培训。”
的要求。
审核抽查员工访谈活动，发现员工不了解信息安全方针和密码管理要求。
无法证实组织培训活动有效。
不符合ISO/IEC 27001:2022附录A.6.3有关：
“人员应接受适当的信息安全意识、教育和培训。”
的要求。
审核抽查培训管理活动，发现组织无法提供信息安全培训记录。
无法证实组织已实施信息安全培训活动。
不符合ISO/IEC 27001:2022附录A.6.3有关：
“人员应接受适当的信息安全意识、教育和培训。”
的要求。

常见问题清单

• 是否建立培训制度？
• 是否制定年度培训计划？
• 是否开展新员工培训？
• 是否开展全员培训？
• 是否开展专项培训？
• 是否开展钓鱼邮件演练？
• 是否评价培训效果？
• 是否保留培训记录？
• 是否覆盖外包人员？
• 是否持续改进培训内容？

加入检查表 →