一、ISO/IEC 27001:2022 7.2 标准原文

二、条款解读说明

2.1 能力与意识不是一回事

很多组织容易把7.2和7.3混在一起。7.2讲的是“能不能做好”，7.3讲的是“知不知道为什么要这样做”。例如，员工知道密码不能泄露，这是意识；系统管理员能够正确配置权限、启用日志并验证备份，这才是能力。能力条款关注的是与岗位职责相匹配的技术、管理和协作能力，尤其是那些直接影响风险评估、控制实施、事件响应和合规执行的关键岗位。

能力不足往往比意识不足更隐蔽，也更危险。一个意识很强但能力不足的团队，可能明知需要补丁管理，却不会建立资产与漏洞关联；明知需要应急响应，却无法完成证据保全和根因分析；明知需要最小权限，却缺少角色权限设计能力。因此，7.2要求组织必须先定义“什么岗位需要什么能力”，再判断当前是否具备，并通过培训、实践、指导或引入经验来补齐。

2.2 能力条款的关键构成

2.3 关键岗位能力比普遍培训更重要

并不是所有人员都需要同等深度的安全能力。管理层需要理解风险和治理，业务负责人需要理解风险接受和数据责任，系统管理员需要掌握技术控制，开发人员需要理解安全开发和变更要求，采购和法务需要识别安全条款和供应商风险。7.2强调的是与岗位影响程度相匹配的能力建设，而不是人人上一样的课程。

三、实施要点

3.1 建立岗位能力模型

• 围绕管理层、安全负责人、系统管理员、开发、运维、采购、HR、审计等关键角色建立能力清单。
• 区分基础能力、专业能力和岗位专项能力。
• 把能力要求与5.3职责条款联动起来。

3.2 不只看证书，更看实操

• 培训证书可以作为证据，但不能替代胜任结论。
• 对关键岗位应结合实操检查、案例复盘、演练表现或工作结果做判断。
• 必要时通过导师带教、岗位轮训或外部专项辅导强化能力。

3.3 让能力提升与风险重点同步

• 如果当前高风险集中在访问控制、日志、供应链或应急响应，就应优先补这些岗位能力。
• 避免培训内容长期固定不变，与实际风险脱节。
• 重大技术和业务变化后，应同步更新能力要求。

3.4 做好能力评价和追踪

• 定期识别关键岗位能力差距，并形成补强计划。
• 将能力差距和高风险项关联，提升改进紧迫性。
• 对关键岗位离职或变更带来的能力断层提前做预案。

3.5 保留可审核证据

• 证据应覆盖能力要求、培训措施、实操或考核结果和后续改进。
• 不要让能力证据散落在邮件、聊天或个人记录中。
• 证据重点是“具备能力”的事实，而不只是“参加活动”的事实。

四、常用工具与实施方法

五、典型案例

案例一：开发团队培训很多，但安全缺陷仍反复出现

1. 背景：企业每年安排开发安全培训，但代码缺陷和配置错误持续高发。
2. 问题：培训偏理论，缺少结合业务和工具链的实操要求。
3. 7.2动作：将能力要求细化到安全编码、依赖管理、发布校验和缺陷复盘，并引入实操考核。
4. 结果：缺陷复发率下降，开发团队对风险理解更具体。
5. 启示：能力建设要贴近岗位动作，而不是停留在概念学习。

案例二：运维团队通过演练暴露能力断层

1. 背景：企业自认为备份机制完善。
2. 问题：恢复演练时发现关键人员不会完整执行恢复流程。
3. 7.2动作：把恢复演练结果纳入能力评估，并针对薄弱环节重新培训和轮训。
4. 结果：可用性保障能力显著提升。
5. 启示：真正的能力往往在演练中被检验出来。

案例三：采购和法务被纳入安全能力建设

1. 背景：企业第三方合同中的安全条款长期不统一。
2. 问题：采购和法务未被视为安全能力建设对象。
3. 7.2动作：将关键安全条款、供应商审查要点和风险识别纳入采购与法务能力模型。
4. 结果：供应商管理质量明显改善。
5. 启示：能力条款的覆盖范围应与职责影响范围一致。

六、成文信息管理要求

7.2明确要求组织保留适当成文信息作为能力证据。因此，组织应既能证明已识别岗位能力要求，也能证明相关人员通过培训、经验或实际表现达到了相应水平。

七、常见误区及踩坑提醒