ISO/IEC 27001:2022 信息安全管理体系的理解和应用

一、课程简介

本课程系统讲解 ISO/IEC 27001:2022 信息安全管理体系标准的理解与应用。面向企业管理者、体系工程师与内审员，按 HLS 高层结构逐条解读标准要求，结合行业案例讲透落地方法，为体系建立、运行和认证审核打基础。

二、培训对象

• 企业管理体系负责人、管理者代表与体系推进专员；
• 拟建立信息安全管理体系的组织相关职能部门骨干；
• 内审员与拟从事信息安全管理体系审核的人员；
• 希望系统了解该标准的咨询与合规人员。

三、课程收益

1. 说清ISO/IEC 27001的整体结构与核心概念；
2. 逐条理解标准要求并对应到组织过程；
3. 掌握体系文件化与运行控制要点；
4. 能组织内审并应对认证审核。

四、课程大纲

第一章 标准概述与信息安全基础

• 1.1 信息安全与信息安全管理体系（ISMS）基本概念：保密性、完整性、可用性
• 1.2 ISO/IEC 27001:2022 版本变化：与2013版对照（10.1→12.3等条款重排）
• 1.3 信息安全风险环境：网络攻击、数据泄露、供应链安全
• 1.4 与相关标准关系：27002控制措施指南、27005风险管理、27017/27018云安全

第二章 组织环境与领导作用（第4-5条）

• 2.1 组织环境（4.1）：内外部议题识别——数据合规要求、行业威胁情报
• 2.2 相关方需求（4.2）：客户保密协议、GDPR/个保法等合规义务
• 2.3 ISMS范围（4.3）：边界界定与排除条款的正当性说明
• 2.4 领导作用（5.1-5.3）：信息安全方针、角色职责、可问责性

第三章 策划与支持（第6-7条）

• 3.1 风险评估与风险处置（6.1.2/6.1.3）：资产识别→威胁→脆弱性→影响分析
• 3.2 信息安全目标（6.2）：可测量的目标与实现方案
• 3.3 附件A控制措施概览（6.1.3）：四主题93项控制（组织37/人员8/物理14/技术34）
• 3.4 资源与能力（7.1-7.2）：安全意识培训计划
• 3.5 沟通与成文信息（7.4-7.5）

第四章 运行与绩效评价（第8-9条）

• 4.1 运行策划（8.1）：风险处置计划执行与变更控制
• 4.2 监视测量（9.1）：安全事件统计、渗透测试、漏洞扫描
• 4.3 内部审核（9.2）与管理评审（9.3）
• 4.4 不符合与纠正措施（10.2）

第五章 附件A控制措施要点与实施

• 5.1 组织控制（A.5）：信息安全策略、角色、供应链安全、云服务
• 5.2 人员控制（A.6）：背景核查、保密协议、安全意识教育
• 5.3 物理控制（A.7）：物理入口、设备安全、清桌清屏
• 5.4 技术控制（A.8）：身份认证、加密、备份、日志、漏洞管理

五、考核与证书

• 线上答题 5 题，70 分合格，通过后生成培训合格记录；
• 学时：6 学时。