A.6.7 远程工作

ISO/IEC 27001:2022　A.6 人员控制

条款正文

A.6.7 远程工作
当员工进行远程工作时，应实施安全措施，保护在组织场所外访问、处理或储存的信息。

审核要点

• 建立远程办公制度
• 风险评估
• VPN控制
• MFA控制
• 远程权限控制
• 终端安全控制
• 数据安全控制
• 日志审计
• 培训宣贯
• 持续监督

审核证据示例

• 远程办公管理制度
• VPN管理制度
• VPN日志
• MFA配置记录
• 远程办公审批记录
• 终端安全配置记录
• 远程办公培训记录
• 风险评估报告
• 安全检查记录
• 审计报告

审核记录示例

查阅远程办公管理制度1份。
查阅VPN管理制度1份。
查阅VPN访问日志3份。
查阅MFA配置记录1份。
查阅远程办公审批记录2份。
查阅远程办公风险评估报告1份。
访谈系统管理员1名。
访谈远程办公员工2名。
经核实，组织已建立远程办公管理机制，对远程访问实施身份认证和访问控制。

高频问题清单

• 无远程办公制度
• VPN未启用
• 未启用MFA
• 家庭电脑办公
• 权限控制不足
• 数据下载失控
• 日志未保存
• 风险未评估
• 培训缺失
• 远程设备未纳管

审核公式

远程办公虽方便，
安全要求不能变；
身份终端加网络，
处处受控保安全。

审核链条

远程办公申请 → 风险评估 → 权限审批 → VPN接入 → 日志监控 → 定期检查

不符合项（NC）格式

审核抽查远程办公管理活动，发现组织未建立远程办公信息安全管理要求。
无法证实组织已管理远程工作带来的信息安全风险。
不符合ISO/IEC 27001:2022附录A.6.7有关：
“应实施安全措施以保护远程工作期间访问、处理或存储的信息。”
的要求。
审核抽查远程运维活动，发现运维人员通过互联网远程接入生产系统，但未采用多因素认证措施。
无法证实组织已保护远程工作期间的信息安全。
不符合ISO/IEC 27001:2022附录A.6.7有关：
“应实施安全措施以保护远程工作期间访问、处理或存储的信息。”
的要求。
审核抽查远程办公管理活动，发现组织无法提供远程办公安全检查记录。
无法证实组织已实施远程工作安全控制措施。
不符合ISO/IEC 27001:2022附录A.6.7有关：
“应实施安全措施以保护远程工作期间访问、处理或存储的信息。”
的要求。

常见问题清单

• 是否建立远程办公制度？
• 是否规定远程办公审批要求？
• 是否使用VPN接入？
• 是否实施多因素认证？
• 是否控制远程访问权限？
• 是否管理远程办公设备？
• 是否规定数据存储要求？
• 是否开展远程办公培训？
• 是否监控远程访问日志？
• 是否评估远程办公风险？

加入检查表 →