指南
ISO27001:2022 附录A控制措施清单｜四大主题93项与2013版变更点
ISO/IEC 27001:2022附录A包含四大主题共93项控制措施：组织37项、人员8项、物理14项、技术34项，其中11项为2022版新增。最容易被误解的是附录A的定位。它并不是一份可以随意挑选的菜单，而是在风险处置中确定了所需控制措施之后，用来核对是否有遗漏的参照清单。第6.1.3 c)条要求的正是这一比对，顺序一旦颠倒，就容易变成「为了填表而做的措施」。本文按四大主题列出全部93项，并梳理2013版以来的变更以及适用性声明中的使用方式。
发布日期: 最后更新:
附录A是什么（ISO27001与ISO27002的关系）
附录A是ISO/IEC 27001:2022的组成部分，是一份信息安全控制措施参照清单，属于规范性内容，用于核对自身选定的控制措施是否有遗漏。至于每项控制措施如何实施，并未写在该标准中，而是由另一份标准ISO/IEC 27002:2022承担，它属于指南，本身不是认证审核准则。
这一区别直接决定了工作顺序。首先通过风险评估与风险处置确定本组织所需的控制措施（步骤见ISMS风险评估）；其次把这份清单与附录A比对，确认没有遗漏的领域；最后才翻开27002，参考实施思路与示例。
2013版以来的变更（114项变93项，14个领域变4个主题）
2013版附录A为14个领域114项控制措施，2022版调整为4个主题93项。数量减少并非要求放松，而是内容重叠的控制措施被合并。分类粒度变粗之后，单项控制措施覆盖的范围相应变宽。
| 对比项 | 2013版 | 2022版 |
|---|---|---|
| 控制措施数量 | 114 | 93 |
| 分类 | 14个领域（A.5至A.18） | 4个主题（第5至8章） |
| 主题构成 | 按访问控制、密码等领域划分 | 组织37／人员8／物理14／技术34 |
| 新增 | — | 11项 |
| 属性 | 无 | 赋予5类属性 |
新增的11项对应近十年已成常态的工作方式与技术，包括云服务使用、远程办公、日志监视以及开发现场实务，具体为5.7 威胁情报、5.23 使用云服务的信息安全、5.30 业务连续性的ICT就绪、7.4 物理安全监视、8.9 配置管理、8.10 信息删除、8.11 数据脱敏、8.12 数据泄露防护、8.16 监视活动、8.23 网络过滤、8.28 安全编码。对开发或使用SaaS的IT企业而言，多数领域其实已在以某种形式运行，工作重点通常是把既有做法表述为控制措施，而非从零搭建。
另一项变更是属性。2022版为每项控制措施赋予5类属性：控制措施类型（预防／检测／纠正）、信息安全特性（保密性／完整性／可用性）、网络安全概念（识别／保护／检测／响应／恢复）、运行能力、安全域。其作用是从不同角度重新排序与分析控制措施，按属性分类本身并非要求事项。
组织控制措施（5.1至5.37）清单
共37项，是数量最多的主题，涵盖方针、职责、供应商管理、事件响应与合规。2013版中分散在多个领域的控制措施被集中到这里。该主题需要编制的文件也最多，整体清单见ISMS所需文件一览。
| 编号 | 控制措施 | 2022新增 |
|---|---|---|
| 5.1 | 信息安全方针 | |
| 5.2 | 信息安全角色与职责 | |
| 5.3 | 职责分离 | |
| 5.4 | 管理职责 | |
| 5.5 | 与主管部门的联系 | |
| 5.6 | 与特定相关方的联系 | |
| 5.7 | 威胁情报 | ★新增 |
| 5.8 | 项目管理中的信息安全 | |
| 5.9 | 信息及其他相关资产的清单 | |
| 5.10 | 信息及其他相关资产的可接受使用 | |
| 5.11 | 资产归还 | |
| 5.12 | 信息分类 | |
| 5.13 | 信息标记 | |
| 5.14 | 信息传输 | |
| 5.15 | 访问控制 | |
| 5.16 | 身份管理 | |
| 5.17 | 鉴别信息 | |
| 5.18 | 访问权限 | |
| 5.19 | 供应商关系中的信息安全 | |
| 5.20 | 供应商协议中的信息安全 | |
| 5.21 | ICT供应链中的信息安全管理 | |
| 5.22 | 供应商服务的监视、评审与变更管理 | |
| 5.23 | 使用云服务的信息安全 | ★新增 |
| 5.24 | 信息安全事件管理的策划与准备 | |
| 5.25 | 信息安全事态的评估与决策 | |
| 5.26 | 信息安全事件的响应 | |
| 5.27 | 从信息安全事件中学习 | |
| 5.28 | 证据收集 | |
| 5.29 | 中断期间的信息安全 | |
| 5.30 | 业务连续性的ICT就绪 | ★新增 |
| 5.31 | 法律、法规、监管与合同要求 | |
| 5.32 | 知识产权 | |
| 5.33 | 记录保护 | |
| 5.34 | 隐私与个人可识别信息的保护 | |
| 5.35 | 信息安全的独立评审 | |
| 5.36 | 符合信息安全方针、规则与标准 | |
| 5.37 | 形成文件的操作规程 |
人员控制措施（6.1至6.8）清单
涵盖从招聘到离职的人员相关控制措施。虽然只有8项，但与劳动规章、雇佣合同、入离职手续重叠，信息系统部门无法独立完成。远程办公成为独立的控制措施，是与2013版在实务上差异最明显之处。
| 编号 | 控制措施 | 2022新增 |
|---|---|---|
| 6.1 | 审查 | |
| 6.2 | 雇佣条款与条件 | |
| 6.3 | 信息安全意识、教育与培训 | |
| 6.4 | 违规处理过程 | |
| 6.5 | 雇佣终止或变更后的职责 | |
| 6.6 | 保密协议 | |
| 6.7 | 远程办公 | |
| 6.8 | 信息安全事态报告 |
物理控制措施（7.1至7.14）清单
涵盖出入管理、设备、存储介质直至处置。即使不自建机房、完全使用云服务的企业，办公室出入、公司电脑的携出、归还与报废仍在范围之内。适用范围的划定方式不同，涉及的条目也会变化。
| 编号 | 控制措施 | 2022新增 |
|---|---|---|
| 7.1 | 物理安全边界 | |
| 7.2 | 物理入口 | |
| 7.3 | 办公室、房间与设施的安全 | |
| 7.4 | 物理安全监视 | ★新增 |
| 7.5 | 物理与环境威胁的防护 | |
| 7.6 | 在安全区域内工作 | |
| 7.7 | 清理桌面与清屏 | |
| 7.8 | 设备安置与保护 | |
| 7.9 | 场所外资产的安全 | |
| 7.10 | 存储介质 | |
| 7.11 | 支持性设施 | |
| 7.12 | 布缆安全 | |
| 7.13 | 设备维护 | |
| 7.14 | 设备的安全处置或再利用 |
技术控制措施（8.1至8.34）清单
共34项，是数量第二多的主题，11项新增中有7项在此。涵盖访问控制、密码技术、日志、网络与开发生命周期，对IT企业而言与既有开发运维规则的重叠程度较高。
| 编号 | 控制措施 | 2022新增 |
|---|---|---|
| 8.1 | 用户终端设备 | |
| 8.2 | 特权访问权限 | |
| 8.3 | 信息访问限制 | |
| 8.4 | 源代码访问 | |
| 8.5 | 安全鉴别 | |
| 8.6 | 容量管理 | |
| 8.7 | 恶意软件防护 | |
| 8.8 | 技术脆弱性管理 | |
| 8.9 | 配置管理 | ★新增 |
| 8.10 | 信息删除 | ★新增 |
| 8.11 | 数据脱敏 | ★新增 |
| 8.12 | 数据泄露防护 | ★新增 |
| 8.13 | 信息备份 | |
| 8.14 | 信息处理设施的冗余 | |
| 8.15 | 日志记录 | |
| 8.16 | 监视活动 | ★新增 |
| 8.17 | 时钟同步 | |
| 8.18 | 特权实用程序的使用 | |
| 8.19 | 运行系统上的软件安装 | |
| 8.20 | 网络安全 | |
| 8.21 | 网络服务安全 | |
| 8.22 | 网络隔离 | |
| 8.23 | 网络过滤 | ★新增 |
| 8.24 | 密码技术的使用 | |
| 8.25 | 安全开发生命周期 | |
| 8.26 | 应用安全要求 | |
| 8.27 | 安全系统架构与工程原则 | |
| 8.28 | 安全编码 | ★新增 |
| 8.29 | 开发与验收中的安全测试 | |
| 8.30 | 外包开发 | |
| 8.31 | 开发、测试与生产环境的分离 | |
| 8.32 | 变更管理 | |
| 8.33 | 测试信息 | |
| 8.34 | 审计测试期间的信息系统保护 |
适用性声明（SoA）中的使用方式
附录A的93项控制措施最终汇集于第6.1.3 d)条要求的适用性声明（SoA）。SoA通常做成93行的表格，每行包含以下信息。
- 控制措施编号与名称（附录A全部93项均需成行）
- 是否适用的判定
- 适用理由（来自哪项风险处置，或源于法律法规、合同、内部方针）
- 不适用时的理由（需结合本组织活动说明为何不涉及）
- 实施状况，以及支撑实施的文件或记录的索引
审核时容易被追问的是风险处置计划与SoA之间能否双向对应。风险处置中选定的控制措施在SoA中却标为不适用，或标为适用却找不到对应文件与记录，这类不一致很容易被发现。不适用的理由仅写「无此项」说服力不足，需要结合自身业务说明为何不涉及。
能否排除取决于风险评估结果。例如不自行开发软件的企业可以合理排除开发类控制措施，但若采用外包开发，8.30 外包开发仍会涉及。判断标准不是「我们没用」，而是「本组织范围内不存在该活动」。
中小IT企业通常优先着手的控制措施示例
优先顺序本应由风险评估结果决定，并无统一答案。作为一般性倾向，百人规模以内的IT企业常从以下领域入手，因为既有做法本身就能构成实施状况，新增负担相对较小。
- 5.15／5.18／8.2 访问权限与特权管理 — 以SaaS账号盘点为起点，并与入离职手续联动
- 5.9／5.10 信息资产清单与可接受使用 — 不先确定保护对象，其他控制措施就缺少依据
- 5.23 使用云服务的信息安全 — 把在用SaaS的选型、签约与退出思路写成文字
- 8.8 技术脆弱性管理 — 为依赖库与操作系统确定从发现到修补的流程
- 8.15／8.16 日志记录与监视活动 — 先就已采集的日志确定由谁在何时查看
- 6.3 信息安全意识、教育与培训 — 做成每年能留下实施记录的形式
- 5.24至5.27 事件管理 — 建立包含轻微事态在内的上报通道
相反，初期负担较重的往往是可能需要引入工具的新增控制措施，如8.11 数据脱敏与8.12 数据泄露防护。其必要程度因所处理信息的性质差异很大，应结合风险评估结果判断。取证的整体流程见ISO27001认证取得流程。
用工具管理93项控制措施
仅仅列出93项清单，用电子表格就足够。负担出现在把风险、控制措施、SoA、文件与记录相互关联并持续维护的环节。当控制措施多达93项时，仅凭人工核对一次风险更新会波及哪些SoA行与哪些文件，很难长期维持。
把这些关联交给工具承载，更新的波及范围可被自动追踪，适用与不适用理由仍为空白的行也更容易被发现。若想先确认本公司对93项中的哪些已能说明清楚，可以从ISMS现状自检开始。
常见问题
- 93项控制措施必须全部实施吗？
- 不必全部实施。是否实施由风险评估与风险处置结果决定，与本组织无关的控制措施可在适用性声明中排除。但排除需要写明理由，并且需要留下对全部93项都逐一考虑过的证据。问题不在于排除，而在于存在从未被审视过的条目。
- 有2013版与2022版的对照表吗？
- ISO/IEC 27002:2022附有新旧控制措施编号的对照表。二者并非都是一一对应，有的是多项旧控制措施合并为一项，也有一项跨到多项。基于旧版已建立体系的组织，沿着该对照关系梳理既有文件对应到哪个新编号，通常是推进转版最快的方式。
- 属性（控制措施类型等）是必须使用的吗？
- 并非必须。属性是从不同角度重新排序与分析控制措施的手段，组织也可自行增加属性。仅按四大主题分类运行并无问题。当需要向管理层说明预防、检测与纠正之间的平衡时，属性会比较有用。
- 必须购买ISO27002吗？
- 认证要求位于ISO/IEC 27001一侧，没有27002并不意味着无法通过认证。但各项控制措施的实施指南写在27002中，若由自身团队边解释边建设，手边有一份通常能加快判断。是否购买，可结合是否借助外部支持一并考虑。
- 2013版的转版期限是怎样的？
- 按一般公开信息，基于ISO/IEC 27001:2013的认证证书已于2025年10月31日到期。目前无论新取得还是维持既有认证，都以2022版为前提。具体证书的状态与转版审核的处理方式，请向签约的认证机构确认。
用 5 个问题确认贵公司 ISMS 的现状
回答仅在浏览器内处理，不会从本应用发送。
开始自我检查本文仅供一般信息参考，不保证任何审核结果或认证获取。制度与费用可能变化，请向认证机构确认最新信息。
相关文章
ISMS风险评估怎么做｜从信息资产梳理到适用性声明的6个步骤
ISO/IEC 27001风险评估的实操步骤：制定风险准则、梳理信息资产、风险分析、风险评价、风险处置与适用性声明。附评价准则矩阵表、资产台账字段示例与常见误区。
ISMS（ISO27001）所需文件清单｜标准要求的文件化信息与记录梳理
把ISO/IEC 27001所需文件分为标准正文明确要求的文件化信息，以及围绕附录A控制措施在实务中通常需要编制的制度两层，并说明文件与记录的区别、文件体系与版本管理要求。
ISO 27001（ISMS）认证的流程与周期｜从启动到注册的8个步骤
详解ISO 27001（ISMS）认证从启动到注册的8个步骤，通常周期为6至12个月。涵盖适用范围确定、风险评估、内部审核、管理评审，以及第一阶段审核与第二阶段审核的要点和月度进度示例。