# ISO/IEC 27001 认证准备清单：条款 4–10 与附录 A 自查

> 认证审核看两样东西：管理体系条款（4–10 章）是否有文件和运行记录，附录 A 控制是否按适用性声明落实。下面这份清单覆盖第一、二阶段审核最常被检查的项目。

来源页面: https://assurelane.ai/insights/iso-27001-readiness-checklist/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 管理体系条款（必须项）

| 条款 | 审核常查的文件或记录 |
| --- | --- |
| 4 组织环境 | 内外部议题、相关方及其要求、**ISMS 范围**（含边界与接口） |
| 5 领导作用 | 信息安全方针、角色与职责分配、管理层承诺的证据 |
| 6 策划 | **风险评估方法与报告**、**风险处置计划**、**适用性声明（SoA）**、信息安全目标及实现计划、变更的策划 |
| 7 支持 | 资源、能力与培训记录、意识教育、沟通安排、文件化信息控制 |
| 8 运行 | 运行策划与控制、按计划开展的风险评估与处置记录 |
| 9 绩效评价 | 监视测量结果、**内部审核方案与报告**、**管理评审记录** |
| 10 改进 | 不符合项与纠正措施记录、持续改进证据 |

## 附录 A：93 项控制分四类

- **组织控制（37 项）**：信息安全政策、角色职责、资产清单、访问控制、供应商关系、云服务使用、事件管理、业务连续性、法律合规、威胁情报等
- **人员控制（8 项）**：背景调查、雇佣条款、意识培训、纪律处分、离职责任、保密协议、远程工作、事件报告
- **物理控制（14 项）**：物理边界与出入、办公区安全、设备安全、介质管理、物理安全监控等
- **技术控制（34 项）**：终端设备、特权访问、身份认证、恶意软件防护、漏洞管理、配置管理、信息删除、数据脱敏、防泄漏、备份、日志、监控、网络安全、加密、安全开发、测试等

2022 版新增的 11 项控制值得特别准备：威胁情报、云服务信息安全、业务连续性 ICT 准备、物理安全监控、配置管理、信息删除、数据脱敏、数据防泄漏、监控活动、网页过滤、安全编码。

## 第一阶段审核前

- [ ] ISMS 范围已定稿，与客户关心的实体和服务一致
- [ ] 方针、风险评估报告、风险处置计划、SoA 齐备
- [ ] 必备程序和记录模板已发布
- [ ] 至少运行了一段时间并有记录

## 第二阶段审核前

- [ ] 完成至少一轮覆盖全部范围的内部审核
- [ ] 完成管理评审并有输出决定
- [ ] 内审发现的问题已有纠正措施
- [ ] 关键控制有可抽查的运行证据（访问审查、备份测试、培训记录、供应商评估等）
- [ ] 员工能说明自己的安全职责

审核常见的不符合项集中在：风险评估与 SoA 不一致、内审覆盖不全、管理评审流于形式、控制有制度无记录。

## 参考来源

- [ISO — ISO/IEC 27001:2022](https://www.iso.org/standard/27001)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。