跳到正文
EU Rules Finder
简体中文 (语言)

为您填好的 ISO 27001 模板：适用性声明、风险登记册和信息安全方针

按 ISO/IEC 27001:2022 建立的信息安全管理体系以几份核心文件为基础：范围、方针、风险评估及处置计划、适用性声明和目标。只需回答一次问题，文件包即生成英文、德文、西班牙文、法文、波兰文或意大利文的 Word 文件，计算每项风险的等级，并列出附录 A 全部 93 项控制措施及您的决定。

已于 2026年10月25日 与来源核对

组织
环境与范围
涵盖哪些内容，例如：Acme 预订平台的开发、托管和支持。
每行一项。
每行一项。如无排除，请留空。
范围以外或由他人完成、但体系依赖的活动，例如云托管或薪资外包。每行一项。
组织内部影响安全的因素，例如 IT 团队人手少或系统陈旧。每行一项。
外部因素，例如 NIS2 规则、客户要求、针对贵行业的攻击。每行一项。
2024 年第 1 号修正案要求每个组织作出判断，例如位于洪水风险区的数据中心应答“是”。
每行一项，例如 客户：合同中的安全条款；数据保护机构：GDPR。
信息安全方针
姓名和职务。
例如总经理。
每行一项，例如 访问控制、备份、可接受使用、远程办公。
1 到 36 之间的整数，通常为 12。
SOC 2 与 NIS2

套件另含七项专题政策、一份 SOC 2 准则工作表和一份 NIS2 第 21 条措施记录。工作表始终包含安全类别；请勾选报告还将涵盖的其他 SOC 2 类别。

风险

风险等级（可能性 × 影响）不超过此数的风险可以接受，例如 8。
风险 R1
例如客户数据库。
例如管理员密码被盗，且没有第二因素。

风险等级：请评定可能性和影响

填写下方列表中的编号，例如 5.17, 8.5。

适用性声明：93 项控制措施

逐项说明：纳入或排除、原因，以及是否已实施。上方风险中列出的控制措施即以该风险为依据。控制措施名称为英文。

已决定 0 / 93 项。

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

目标

目标 1
例如所有管理员账户启用多因素登录。
如何判断达成，例如 100% 的管理员账户。
文件语言

您输入的内容不会发送到任何地方。您的企业信息会保存在本浏览器中，方便下次使用。

文件内容

  • ISMS 范围：内部和外部问题、2024 年第 1 号修正案的气候变化问题、相关方及其要求、场所、排除部分和接口（第 4.1 至 4.3 条）；
  • 信息安全方针：最高管理层的承诺、职责和您的特定主题策略（5.2）；
  • 风险评估：方法、1 至 5 级量表、您的接受准则，以及按“可能性 × 影响”计算每项风险的登记册（6.1.2）；
  • 风险处置计划：处置选项、附录 A 控制措施、行动、负责人和期限，并为每位风险责任人留出批准栏（6.1.3）；
  • 适用性声明：附录 A 全部 93 项控制措施，纳入或排除、理由（控制措施所处置的风险会自动填入）以及实施情况（6.1.3 d），另附可用电子表格打开的 CSV 文件；
  • 信息安全目标：衡量方法、资源、负责人和期限（6.2），以及一份说明文件，列出标准在这些文件之外的要求。

文件包的检查

风险等级只根据 1 至 5 的整数评级计算，其他输入一律标为待填写。附录 A 中不存在的控制措施编号会显示为不接受，绝不猜测。若您排除了某项控制措施，而某项风险依赖它，表单和适用性声明中都会标出。不会悄悄留空：每处缺漏都标为 TO COMPLETE 或文件语言中的对应标记。

ISO 27001 与 NIS2

NIS2 指令（欧盟）2022/2555 并不要求通过 ISO/IEC 27001 认证。其第 21 条要求基本实体和重要实体采取风险管理措施，并在适用时考虑相关的欧洲和国际标准；第 25 条要求成员国鼓励使用这些标准。风险评估、方针和适用性声明是说明这些措施如何选定的常见方式。套件如何将各项政策对应到 SOC 2 和第 21 条：SOC 2 与 NIS2 政策。

文件包不做什么

文件包不含标准原文：控制措施名称是我们自己的简短表述，阅读要求需要您自备一份 ISO/IEC 27001。它不编写各项控制措施背后的程序，不进行内部审核或管理评审，也不提供任何认证：只有经认可的认证机构审核后才能获得证书。文件为英文、德文、西班牙文、法文、波兰文和意大利文。

您输入的内容不会离开浏览器；文件在您的设备上生成。仅为模板，不构成法律意见。

来源