本页说明
ISO/IEC 27001:2022用于信息安全管理体系要求，本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
适用对象与条件
- 信息资产、业务过程、系统、人员和供应关系
- 信息安全风险、风险所有者和处置计划
- 适用性声明SoA与Annex A控制
- 信息安全事件、业务影响和改进措施
主要要求与方法
信息资产识别和风险评估
信息资产识别和风险评估
风险处置计划与SoA编制
风险处置计划与SoA编制
Annex A控制实施和有效性评价
Annex A控制实施和有效性评价
法规与认证要求
事件响应、绩效监视、内部审核与改进
方法、条件与注意事项
标准与法规用途
ISO/IEC 27001:2022用于信息安全管理体系要求，本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
关联认证项目
- [制造业企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-manufacturing-organisations)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于制造业企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [工程建设与工业服务企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-construction-and-industrial-service-organ)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于工程建设与工业服务企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [食品、医疗与消费品企业ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-food-medical-and-consumer-product-organis)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于食品、医疗与消费品企业ISO/IEC 27001信息安全的体系建立和认证审核。 - [集团、多场所与供应链组织ISO/IEC 27001信息安全](/services/certification/management-systems/iso-iec-27001-information-security/iso-iec-27001-information-security-groups-multi-site-and-supply-chain-organi)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于集团、多场所与供应链组织ISO/IEC 27001信息安全的体系建立和认证审核。 - [食品、医疗与消费品企业ISO/IEC 20000信息技术服务](/services/certification/management-systems/iso-iec-20000-it-service-management/iso-iec-20000-it-service-management-food-medical-and-consumer-product-organi)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于食品、医疗与消费品企业ISO/IEC 20000信息技术服务的体系建立和认证审核。 - [AI治理、责任与生命周期控制](/services/certification/management-systems/iso-iec-42001-ai-management/ai-governance-accountability-and-lifecycle-controls)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于AI治理、责任与生命周期控制的体系建立和认证审核。 - [数据、模型、供应商与影响评估](/services/certification/management-systems/iso-iec-42001-ai-management/data-model-supplier-and-impact-assessment)：ISO/IEC 27001:2022规定信息安全管理体系要求的组织范围、过程运行、绩效评价与持续改进要求，用于数据、模型、供应商与影响评估的体系建立和认证审核。
适用对象
信息资产、业务过程、系统、人员和供应关系；信息安全风险、风险所有者和处置计划；适用性声明SoA与Annex A控制；信息安全事件、业务影响和改进措施。
技术资料
信息资产清单和风险评估方法；风险登记册、处置计划和SoA；Annex A控制实施证据；信息安全事件、监测、审核和改进记录。
实施程序
信息资产识别和风险评估；风险处置计划与SoA编制；Annex A控制实施和有效性评价；事件响应、绩效监视、内部审核与改进。
实施证据
风险登记册；SoA与Annex A控制证据；事件和改进台账。
结果与交付
信息安全管理体系文件；风险评估与风险处置档案；适用性声明SoA；事件响应和控制有效性记录。
持续要求
ISO/IEC 27001:2022的信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录按发布机构的现行信息持续维护。
官方来源
International Organization for Standardization发布了ISO/IEC 27001:2022《Information security, cybersecurity and privacy protection — Information security management systems — Requirements》，[查看官方详情](https://www.iso.org/standard/27001)。
需要结合哪些资料
- 信息资产清单和风险评估方法；风险登记册、处置计划和SoA；Annex A控制实施证据
参考依据与来源
International Organization for Standardization发布ISO/IEC 27001:2022《Information security, cybersecurity and privacy protection — Information security management systems — Requirements》。
编号：ISO/IEC 27001:2022；名称：Information security, cybersecurity and privacy protection — Information security management systems — Requirements；发布机构：International Organization for Standardization；状态：现行。
International Organization for Standardization官方详情页ISO/IEC 27001:2022列明的实施对象、评价活动和记录内容。
用途：信息安全管理体系要求；对象：信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施；成果：信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录。
International Organization for Standardization官方详情页结果怎样使用
- 信息安全管理体系文件
- 风险评估与风险处置档案
- 适用性声明SoA
- 事件响应和控制有效性记录
使用结果时需要结合的事项
- ISO/IEC 27001认证；信息安全风险治理；客户与供应链安全审查
哪些判断还不能确定
- 信息资产、业务过程、系统、人员和供应关系
- 信息安全风险、风险所有者和处置计划
认证常见问题
01ISO/IEC 27001:2022管理哪些对象？
信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施 本页说明信息资产、风险评估与风险处置、适用性声明SoA、Annex A控制、信息安全事件和持续改进。
02ISO/IEC 27001:2022需要哪些资料？
信息资产清单和风险评估方法、风险登记册、处置计划和SoA、Annex A控制实施证据、信息安全事件、监测、审核和改进记录 资料按照风险登记册、SoA与Annex A控制证据、事件和改进台账形成索引。
03ISO/IEC 27001:2022如何实施？
信息资产识别和风险评估、风险处置计划与SoA编制、Annex A控制实施和有效性评价、事件响应、绩效监视、内部审核与改进 实施记录覆盖信息资产、业务过程、系统、人员和供应关系、信息安全风险、风险所有者和处置计划、适用性声明SoA与Annex A控制、信息安全事件、业务影响和改进措施。
04ISO/IEC 27001:2022形成哪些成果？
信息安全管理体系文件、风险评估与风险处置档案、适用性声明SoA、事件响应和控制有效性记录 成果用于ISO/IEC 27001认证、信息安全风险治理、客户与供应链安全审查。