一、ISO/IEC 27001:2022 7.5 标准原文

二、条款解读说明

2.1 为什么7.5是体系可信度的基础

信息安全管理体系离不开文件和记录。没有文件，规则无法稳定传达；没有记录，执行无法证明；没有版本控制，所有“已实施”的说法都缺乏可信度。尤其在ISO 27001中，很多核心活动如范围界定、风险评估、风险处置、目标管理、审核、管理评审和改进，都必须依赖成文信息构成完整证据链。因此，7.5并不是行政性附属条款，而是体系可审核、可追溯、可持续运行的基础保障。

但7.5同样容易走向另一个极端：文件越来越多、越来越细，却和实际运行脱节。结果是现场人员不看文件，文件管理员为更新而更新，审核时只能证明“有文档”，却证明不了“文档有效”。所以7.5真正追求的是“适度而有效”的文件控制，即只保留对体系运行有必要的文件，同时确保这些文件能被正确创建、更新、使用和保护。

2.2 条款关键要求拆解

2.3 文件“够用”比文件“很多”更重要

不同规模组织所需的形成文件信息并不一样。小型组织未必需要大量程序文件，但必须有清晰的方法和记录；大型组织则需要更规范的文件层级和版本控制。判断文件体系是否合适，不在于数量，而在于它是否支撑了范围、风险、控制、职责和运行的真实需要。文件过少，现场无依据；文件过多，执行人员无所适从。7.5要求组织在两者之间找到平衡。

三、实施要点

3.1 先梳理文件体系结构

• 明确方针、制度、程序、作业文件、模板、记录、台账等层级关系。
• 将标准强制要求文件与组织自定义运行文件一起纳入清单管理。
• 避免“同一要求在多个文档里重复且不一致”。

3.2 统一创建与更新规则

• 统一文件编号、版本、审批、发布日期和适用范围标识。
• 重大修订要留痕说明修订原因和主要变化。
• 记录模板也应有版本和责任说明，避免现场随意自制。

3.3 做好访问控制和发布机制

• 确保相关岗位能快速访问当前有效版本。
• 敏感文件如风险评估、SoA、事件记录和审计证据应设访问权限。
• 对作废文件及时撤回或显著标识，防止误用。

3.4 明确保留期限与归档规则

• 结合法律、合同、监管和业务需要设定不同记录的保留期限。
• 对事件、审计、风险和管理评审等关键记录优先保障完整性。
• 对历史版本和作废文件建立归档与销毁机制。

3.5 定期复核文件有效性

• 通过内部审核、过程评估和现场访谈检查文件是否仍贴合实际。
• 对“文件在写、现场不按文件做”的情况优先整改。
• 避免为了保持“文档齐全”而保留无用文件。

四、常用工具与实施方法

五、典型案例

案例一：版本混乱导致审批错误

1. 背景：企业多部门本地保存制度文件。
2. 问题：部分人员仍按旧版审批要求执行，导致控制失效。
3. 7.5动作：建立统一受控发布平台，强制使用最新版本，并撤回历史副本。
4. 结果：版本冲突显著减少。
5. 启示：文件控制失效会直接影响运行控制质量。

案例二：记录存在，但追溯困难

1. 背景：企业风险和审计记录分散在邮件、表格和个人文件夹中。
2. 问题：审核时很难构建完整证据链。
3. 7.5动作：统一台账和归档规则，明确关键记录保管责任。
4. 结果：证据准备效率大幅提升。
5. 启示：记录的价值在于可追溯，而不是“曾经存在过”。

案例三：文件过多导致现场不用

1. 背景：组织多年积累大量程序文件。
2. 问题：现场人员难以判断哪些是当前有效和真正需要遵守的要求。
3. 7.5动作：对文件进行精简整合，保留关键制度和高频模板。
4. 结果：文件可读性和可执行性提升。
5. 启示：文件控制的目标是服务运行，而不是制造文牍。

六、成文信息管理要求

7.5本身就是成文信息管理条款，因此其输出不仅包括受控文件本身，还包括创建、更新、审批、分发、访问、保留和处置过程的控制证据。

七、常见误区及踩坑提醒