A.6.6 保密或不泄露协议

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.6 保密或不泄露协议
应确定、记录、定期审查由人员和其他相关方签署、反映组织保护信息需求的保密协议或保密协议。

审核要点

• 建立保密机制
• 保密协议签署
• 关键岗位覆盖
• 外包人员覆盖
• 供应商覆盖
• 保密责任明确
• 保密期限明确
• 违约责任明确
• 协议定期评审
• 记录保存

审核证据示例

• 保密管理制度
• 保密协议
• NDA协议
• 劳动合同
• 外包合同
• 供应商协议
• 保密培训记录
• 协议签收记录
• 法务审核记录
• 人事档案

审核记录示例

查阅保密管理制度1份。
抽查员工保密协议5份。
抽查外包人员保密协议3份。
抽查供应商保密协议2份。
查阅保密培训记录2份。
访谈员工3名。
经核实，组织建立保密协议管理机制，并覆盖员工及相关第三方人员。

高频问题清单

• 未签保密协议
• 外包人员未签署
• 供应商未签署
• 保密责任不明确
• 保密期限缺失
• 违约责任缺失
• 协议长期未更新
• 员工不知晓要求
• 记录不完整
• 保密培训缺失

审核公式

保密协议先签好，
信息资产保护牢；
内外人员都覆盖，
泄密风险自然少。

审核链条

岗位识别 → 保密要求确定 → 协议签署 → 培训宣贯 → 日常监督 → 离职确认

不符合项（NC）格式

审核抽查人员管理活动，发现组织未与涉及敏感信息岗位员工签订保密协议。
无法证实组织已通过保密协议保护信息安全。
不符合ISO/IEC 27001:2022附录A.6.6有关：
“保密或不披露协议应识别、形成文件、定期评审并反映组织保护信息的需要。”
的要求。
审核抽查供应商管理活动，发现外包服务人员可接触客户信息，但未签署保密协议。
无法证实组织已落实信息保密要求。
不符合ISO/IEC 27001:2022附录A.6.6有关：
“保密或不披露协议应识别、形成文件、定期评审并反映组织保护信息的需要。”
的要求。
审核抽查保密管理活动，发现组织保密协议长期未评审更新，无法覆盖现行业务活动。
无法证实组织已定期评审保密协议的适宜性。
不符合ISO/IEC 27001:2022附录A.6.6有关：
“保密或不披露协议应识别、形成文件、定期评审并反映组织保护信息的需要。”
的要求。

常见问题清单

• 是否建立保密管理制度？
• 是否签署保密协议？
• 是否覆盖关键岗位？
• 是否覆盖外包人员？
• 是否覆盖供应商人员？
• 是否规定保密期限？
• 是否明确保密责任？
• 是否规定违约责任？
• 是否定期评审协议内容？
• 是否保存协议记录？

加入检查表 →