🔐 ISO 27001 完全攻略 — CPPG考试所有考点一网打尽！

信息安全，现在以国际标准说话。如果不知道ISO 27001是什么，就无法通过CPPG考试。

🎯 本文涵盖内容

ISO 27001是什么以及它为何产生
基于PDCA循环的ISMS结构
2022年修订版的核心变更（114项 → 93项）
附录A 4大控制主题全面整理
CPPG考试高频考点总结

📌 引言 — 为什么是ISO 27001？

作为信息安全负责人，你可能听说过ISO/IEC 27001这个名字。但如果被问到“ISO 27001是什么？”，很多人可能无法给出明确的答案。

ISO 27001是定义建立和运行信息安全管理体系（ISMS, Information Security Management System）所需要求的国际标准。简单来说，它是企业以全球认可的方式证明“我们如此系统地管理信息安全”的手段。

在韩国，KISA的ISMS(-P)认证对法律义务企业是强制性的，但ISO 27001是自愿性国际认证。从事全球业务的企业，往往会要求ISO 27001认证作为交易条件。

🔑 CPPG考试重点考察ISO 27001的概念、结构和控制项的分类体系。

🔍 ISO 27001基本概念完全整理

📋 全称和发布历史


类别	内容
正式名称	ISO/IEC 27001 Information Security Management Systems – Requirements
发布机构	ISO(国际标准化组织) + IEC(国际电工委员会)
首次发布	2005年
第一次修订	2013年 (ISO/IEC 27001:2013)
第二次修订	2022年10月25日 (ISO/IEC 27001:2022)

🎯 CIA三要素 — ISO 27001的核心目标

这是ISO 27001旨在保护的信息的三个属性。是CPPG考试的常考项目。


属性	英文	含义
机密性	Confidentiality	只有授权人员才能访问信息
完整性	Integrity	信息未经授权不得更改
可用性	Availability	授权人员在需要时可以访问

这三个首字母缩写被称为CIA三元组(Triad)。

🔄 PDCA循环 — ISMS的骨架

ISO 27001遵循基于PDCA(Plan-Do-Check-Act)循环的持续改进模型。此结构与ISO管理体系标准普遍适用的HLS(High Level Structure)框架相关联。

Plan(계획)  →  Do(실행)  →  Check(점검)  →  Act(개선)
    ↑                                              ↓
    └──────────────── 지속적 개선 ─────────────────┘


阶段	对应条款	主要活动
Plan	第4-6条	了解组织环境、领导作用、风险评估和处置计划
Do	第7-8条	获取支持资源、运行实施
Check	第9条	绩效评价、内部审核、管理评审
Act	第10条	不符合处理、持续改进

—

📐 ISO 27001:2022结构 — 10个条款完全解析

ISO 27001由第1-3条（范围、引用标准、术语和定义）和第4-10条（要求正文）组成。CPPG考试中，第4-10条尤为重要。

📌 第4条 — 组织环境 (Context of the Organization)

这是组织在建立ISMS之前，首先了解自身情况的阶段。

4.1 理解组织及其环境 — 识别内部/外部问题
4.2 理解相关方的需求和期望 (2022修订: 4.2 c) 新增 — 增加了通过ISMS处理的相关方要求)
4.3 确定ISMS的范围
4.4 建立和运行ISMS (2022修订: 明确包含过程及其相互作用)

📌 第5条 — 领导作用 (Leadership)

5.1 领导作用和承诺 — 最高管理者的作用
5.2 建立信息安全方针(Policy)
5.3 组织的角色、职责和权限 — (2022修订: 明确组织内部的分配)

💡 考试要点: 最高管理者必须直接制定和批准信息安全方针，并将其文件化。

📌 第6条 — 策划 (Planning)

6.1 应对风险和机遇的措施
6.1.2 信息安全风险评估(Risk Assessment)
6.1.3 信息安全风险处置(Risk Treatment) + 编写适用性声明(SoA)
6.2 信息安全目标
6.3 变更的策划 (2022新增 — 计划性地管理变更)

💡 考试要点: SoA(Statement of Applicability, 适用性声明)是附录A中93个控制项的适用/不适用情况及其依据的关键文件。务必记住。

📌 第7条 — 支持 (Support)

7.1 资源
7.2 能力
7.3 意识
7.4 沟通 (2022修订: d, e项合并为d)沟通方法)
7.5 文件化信息

📌 第8条 — 运行 (Operation)

8.1 运行策划和控制 (2022修订: 明确定义过程标准)
8.2 实施信息安全风险评估
8.3 实施信息安全风险处置

📌 第9条 — 绩效评价 (Performance Evaluation)

9.1 监视、测量、分析和评价
9.2 内部审核 (2022修订: 细分为9.2.1~9.2.2)
9.3 管理评审 (2022修订: 细分为9.3.1~9.3.3)

📌 第10条 — 改进 (Improvement)

10.1 持续改进 (2022修订: 10.1和10.2的顺序互换)
10.2 不符合和纠正措施

🗂️ 附录A — 93项安全控制措施完全整理

ISO 27001的核心中的核心就是附录A(Annex A)。

2022年修订将控制项从原有的114项减少到93项。这不仅仅是数量上的减少，更是为了适应现代环境而进行的重组。

📊 2013 vs 2022 对比


类别	2013年版本	2022年版本
控制项数量	114个	93个
分类体系	14个领域	4个主题
新增	–	11个
合并	–	57个 → 24个
现有维持	–	35个

🏷️ 4大主题分类

2022年版本将控制项系统地分为4个主要主题。

🏢 主题1 — 组织控制 (Organizational Controls) · A.5 · 37项

涵盖组织如何处理和管理信息安全的政策、制度、体系等总体方面。

主要项目示例:

A.5.1 信息安全方针
A.5.2 信息安全角色和职责
A.5.7 威胁情报 (2022新增)
A.5.10 信息及其他相关资产的允许使用
A.5.19 供应链安全
A.5.23 云服务利用的信息安全 (2022新增) ⭐
A.5.24 信息安全事件管理计划和准备
A.5.30 业务连续性的ICT准备 (2022新增)
A.5.31 法律、法规和合同要求
A.5.36 遵守信息安全方针、规则和标准

💡 考试要点: A.5.23 云服务利用的信息安全控制是2022年新增项目，反映了云的普及，CPPG和ISMS-P考试中都有很高的出题可能性。

👥 主题2 — 人员控制 (People Controls) · A.6 · 8项

涵盖员工从招聘到离职全生命周期的安全管理。

A.6.1 筛选(背景调查)
A.6.2 雇佣条件
A.6.3 信息安全意识、教育和培训
A.6.4 纪律处分流程
A.6.5 雇佣终止或变更后的责任
A.6.6 保密或机密协议
A.6.7 远程工作
A.6.8 信息安全事件报告 (所有员工的义务)

🏗️ 主题3 — 物理控制 (Physical Controls) · A.7 · 14项

保护物理空间和设备的控制措施。

A.7.1 物理安全边界
A.7.2 物理访问控制
A.7.3 办公室、房间和设施安全
A.7.4 物理安全监控 (2022新增 — 闭路电视等)
A.7.5 物理和环境威胁防护
A.7.6 安全区域内工作
A.7.7 清洁桌面和清洁屏幕
A.7.8 设备放置和保护
A.7.9 场外资产安全
A.7.10 存储介质安全
A.7.11 支持性设施
A.7.12 布线安全
A.7.13 设备维护
A.7.14 设备的安全处置或再利用

💻 主题4 — 技术控制 (Technological Controls) · A.8 · 34项

系统、网络、应用程序的技术安全控制措施。

A.8.1 用户终端设备
A.8.2 特权访问权限
A.8.3 信息访问限制
A.8.4 源代码访问
A.8.5 安全认证
A.8.6 容量管理
A.8.7 恶意软件防护
A.8.8 技术漏洞管理
A.8.9 配置管理 (2022新增)
A.8.10 信息删除 (2022新增)
A.8.11 数据脱敏 (2022新增)
A.8.12 数据防泄漏(DLP) (2022新增)
A.8.15 日志记录
A.8.16 监控活动
A.8.23 网页过滤 (2022新增)
A.8.28 安全编码 (2022新增)
A.8.24 加密使用
A.8.32 变更管理
A.8.33 测试信息

🆕 2022年新增11项控制 — 考试核心要点

2022年修订中新增的11项控制措施，在CPPG和ISMS-P考试中都尤其值得关注。


编号	控制项名称	主题
A.5.7	威胁情报	组织
A.5.23	云服务利用的信息安全	组织
A.5.30	业务连续性的ICT准备	组织
A.7.4	物理安全监控	物理
A.8.9	配置管理	技术
A.8.10	信息删除	技术
A.8.11	数据脱敏	技术
A.8.12	数据防泄漏(DLP)	技术
A.8.16	监控活动	技术
A.8.23	网页过滤	技术
A.8.28	安全编码	技术

—

📋 SoA(适用性声明) — 必须了解的核心文件

SoA(Statement of Applicability, 适用性声明)是ISO 27001认证的核心产出物。

针对93个控制项中的每一个，需要文件化以下内容:

适用性 — 该控制项是否适用于我们的组织？
适用依据 — 为什么选择此控制项？（风险评估结果、法律法规要求等）
不适用原因 — 如果不适用，原因是什么？

⚠️ 重要提示: 并非所有93项都必须适用。但是，如果决定不适用某个控制项，必须在SoA中明确说明其依据。

🔗 ISO 27001与韩国国内ISMS(-P)的关系


类别	ISO 27001	ISMS-P
发布机构	ISO/IEC (国际)	KISA (国内)
认证义务	自愿性	部分企业强制
控制体系	附录A (93项)	80项控制 + 个人信息22项
适用范围	全球	以国内为主
相似性	ISMS(-P)的基础国际标准

ISMS-P是基于ISO 27001，并结合韩国国内法律法规（个人信息保护法、信息通信网法等）设计的。

⚠️ CPPG考试常见陷阱

❌ 常见错误1 — 控制项数量

2013年版本: 14个领域，114个控制项（已是旧版本）
2022年版本: 4个主题，93个控制项 ✅

❌ 常见错误2 — 附录A的适用方式

并非所有93项都适用。根据组织的风险评估结果，进行选择性适用。

❌ 常见错误3 — ISO 27001的性质

ISO 27001是要求(Requirements)标准。
ISO 27002是实施指南(Guidelines)标准。
认证是依据ISO 27001进行的。

❌ 常见错误4 — CIA与附加属性

基本三要素: 机密性、完整性、可用性
附加属性(ISO 27000定义): 真实性(Authenticity)、责任追溯性(Accountability)、不可否认性(Non-repudiation)、可靠性(Reliability)

✅ 总结 — CPPG考试前最终检查清单

再次总结核心记忆点。

✔️ ISO 27001是ISMS建立要求国际标准
✔️ 保护目标: CIA (机密性、完整性、可用性)
✔️ 结构: PDCA循环 + HLS 10个条款（第4-10条是核心）
✔️ 2022年修订: 附录A 114项 → 93项，4个主题（组织37 + 人员8 + 物理14 + 技术34）
✔️ 关注新增11项控制中的云、DLP、数据脱敏、安全编码
✔️ SoA(适用性声明) = 在6.1.3中编写，文件化适用/不适用依据
✔️ 必须区分ISO 27001（要求）与ISO 27002（实施指南）

下一步，学习ISO 27701（个人信息保护管理体系，PIMS）的关联性，将对CPPG以及ISMS-P认证审核员的准备大有裨益。🚀