一、ISO/IEC 27001:2022 附录A.5.1 控制原文

二、条款解读说明

2.1 为什么A.5.1是组织类控制的基础

很多企业的信息安全文件长期处于“自然生长”状态。早期为应付某次客户审计写一份制度，为满足某次项目要求写一份规范，发生一次事件后再补一份专项规定。时间久了，文件名称越来越多，内容相互重叠甚至冲突，一线人员根本分不清哪些是原则，哪些是流程，哪些又只是临时通知。A.5.1的价值就在于把这些分散规则收束为清晰的策略框架。

信息安全策略通常至少包括两层：第一层是总体性策略，回答组织在安全上的基本立场、原则和治理方向；第二层是专题策略，针对访问控制、资产管理、日志、备份、供应商、事件响应、远程办公等领域提出更具体要求。没有这一层级关系，组织往往会出现“高层文件太空、基层文件太散”的问题。

2.2 控制关键要点拆解

2.3 “策略”和“程序”的边界

策略回答“我们坚持什么原则、管理边界是什么”；程序和作业文件回答“具体如何执行”。若把执行细节全部塞进策略文件，文件会很快过时；若策略只剩口号，又无法指导后续控制设计。成熟组织会让策略保持稳定方向，让程序承接执行细节，让记录证明执行结果。这种层次关系正是A.5.1希望建立的治理秩序。

三、实施要点

3.1 建立策略目录和层级

• 先梳理现有制度、规范、通知和模板，识别哪些应归为总体策略，哪些应归为专题策略或执行文件。
• 建议至少建立一份总体信息安全策略，并视业务需要建立专题策略。
• 对重复内容进行整合，减少交叉和冲突。

3.2 明确策略所有者和审批责任

• 总体策略通常由管理层批准，专题策略可由对应职能负责人和信息安全负责人共同管理。
• 每份策略都应明确责任部门、版本和生效日期。
• 策略没有所有者，后续几乎必然失控。

3.3 将策略与风险和要求联动

• 新法规、重大客户要求、架构变化和重大事件应触发策略复审。
• 策略评审时要检查是否仍然匹配4.1环境、4.2相关方要求和6.1风险判断。
• 策略不是静态文件，而是治理基线。

3.4 做好发布和理解验证

• 让不同岗位获得与其相关的策略内容，而不是只在文控系统里“可下载”。
• 通过培训、管理例会、项目准入和审核访谈验证理解效果。
• 策略发布要能被现场使用，而不是只给审核看。

3.5 用评审机制保持策略活性

• 至少年度复审一次，必要时根据事件和重大变更进行即时更新。
• 对不再适用的策略及时作废，避免历史版本继续流通。
• 策略更新后同步检查相关流程和模板是否需要调整。

四、常用工具与实施方法

五、典型案例

案例一：互联网企业整合散乱安全制度

1. 背景：企业多年积累十余份安全制度，内容重复严重。
2. 问题：研发和运维常引用不同版本要求。
3. A.5.1动作：重建总体策略与专题策略体系，统一编号和责任人。
4. 结果：制度冲突减少，后续审核和培训更顺畅。
5. 启示：策略体系的首要价值是统一口径。

案例二：制造企业用专题策略覆盖OT场景

1. 背景：原有信息安全制度主要覆盖办公IT。
2. 问题：生产网络、远程维护和备份恢复没有明确策略支撑。
3. A.5.1动作：新增OT相关专题策略并纳入统一评审。
4. 结果：OT控制要求得到正式治理支撑。
5. 启示：专题策略应反映真实业务场景。

案例三：集团企业统一总部与子公司策略边界

1. 背景：总部有统一安全策略，子公司又各自补充文件。
2. 问题：边界不清，审计时经常争议“以谁为准”。
3. A.5.1动作：明确总部基线策略与子公司补充策略关系，并统一评审逻辑。
4. 结果：治理边界更清晰。
5. 启示：多层组织更需要策略层级治理。

六、成文信息管理要求

A.5.1的审核重点通常不只是“有无策略”，而是策略体系是否清晰、是否经批准、是否在相关范围内发布并保持更新。组织应保留能够证明策略生命周期管理的关键记录。

七、常见误区及踩坑提醒