Purpose

ISO/IEC 27001:2022 定义 Information Security Management System (ISMS) 的要求，使组织以风险管理方法持续保护：

• Confidentiality：只有获授权者可访问。
• Integrity：信息准确、完整，未经授权不得修改。
• Availability：需要时可被授权用户和系统使用。

它不是一份“装上这些技术就安全”的 checklist，而是把责任、风险、控制、证据、审计和持续改进组合成管理系统。

ISMS lifecycle

1. Context & scope：识别组织、流程、资产、边界、利益相关者和法律义务。
2. Leadership：政策、角色、责任、资源与 management commitment。
3. Planning：风险识别/评估、treatment、objectives 与 change planning。
4. Support：能力、培训、沟通、文档与资源。
5. Operation：实施风险处理与选定 controls，并控制外包流程。
6. Performance evaluation：monitoring、measurement、internal audit、management review。
7. Improvement：纠正 nonconformity，并持续改进 ISMS。

2022 版 controls

文章说明与 ISO/IEC 27002:2022 对齐的 93 项 controls，分为：

• Organizational
• People
• Physical
• Technological

Controls 应由风险评估和适用性决定，而不是机械全部勾选。

认证与可靠性

认证并非强制，但独立审核可向客户和合作方提供管理体系证据。认证也不等于“不会发生 breach”；可靠性来自持续运行控制、监控、演练、复审与改进。

IE Project 最小 ISMS 思路

• 定义 ISMS scope：哪些系统、数据、人员和供应商在内？
• 为一项 confidentiality、integrity、availability 风险分别指定 owner。
• 记录 control、implementation evidence、metric 与 review frequency。
• 说明 residual risk 由谁接受。