一、ISO/IEC 27001:2022 附录A.5.10 控制原文

二、条款解读说明

2.1 为什么可接受使用是基础行为控制

组织资产的实际风险，往往发生在日常使用环节。员工是否可以把公司文件同步到个人网盘？是否可以在未授权设备上处理敏感数据？是否可以共享账号、转借设备、私装软件、把工作文档带离办公环境？这些问题如果没有被明确表达，组织就会把风险暴露给每个人的个人判断。

A.5.10的价值在于用清晰规则减少“我以为可以”的灰区。尤其在远程办公、BYOD、移动办公、外包协作和云文档广泛使用的环境下，资产使用边界越来越复杂。组织必须基于资产类型、信息分级和使用场景，定义允许、限制和禁止的行为边界，而不能只说“员工应妥善使用设备”。

2.2 关键要点拆解

2.3 可接受使用不应只针对终端

许多组织把这项控制等同于“电脑和手机使用规定”。实际上，它应覆盖信息和其他相关资产，包括文档、数据、账号、存储介质、软件许可、打印输出、会议资料和共享平台等。不同资产的使用方式和风险不同，规则也应相应分层，而不是试图用一页笼统通知解决所有问题。

三、实施要点

3.1 按场景设计使用规则

• 区分办公终端、移动设备、云文档、外部共享、打印输出、远程访问等场景。
• 对不同场景定义允许、限制和禁止行为。
• 避免把规则写成大而空的行为倡议。

3.2 让规则与分级和权限联动

• 高敏感信息应有更严格的使用、复制、传输和存储要求。
• 资产使用要求应与信息分级、账号权限和数据处理场景保持一致。
• 规则不能脱离资产价值独立存在。

3.3 将规则纳入人员管理

• 在入职、入组、外包准入和离岗环节明确宣导使用规则。
• 必要时通过签收确认、短测验或场景化培训强化理解。
• 对高风险岗位可设更严格要求。

3.4 用技术和管理双重手段落地

• 对关键规则尽量配置技术控制，如限制外接存储、限制未授权同步、限制私装软件。
• 管理要求与技术限制配合，通常比单靠制度更稳定。
• 对暂无法技术控制的场景，增加抽查和日志监控。

3.5 违规处理要统一

• 对违反可接受使用规则的行为设统一处理路径，包括提醒、整改、升级和纪律处理。
• 对重复违规行为既处理个人，也复盘规则是否不清或缺乏技术支撑。
• 避免违规处理完全依赖主管个人判断。

四、常用工具与实施方法

五、典型案例

案例一：个人网盘同步导致文件外泄风险

1. 背景：员工习惯使用个人云盘处理文件。
2. 问题：组织没有明确规定哪些资料可同步、哪些不行。
3. A.5.10动作：明确禁止将高敏感文件同步到个人存储，并通过终端策略限制相关行为。
4. 结果：高风险外传行为明显减少。
5. 启示：行为规则需要技术支撑。

案例二：远程办公期间共享账号和设备混用

1. 背景：团队在远程场景下频繁借用设备和账号。
2. 问题：边界不清，审计追溯困难。
3. A.5.10动作：明确禁止共享账号和未经批准转借设备，并加入主管检查要求。
4. 结果：追溯性和责任清晰度提升。
5. 启示：远程环境更需要清晰的使用规则。

案例三：外包人员使用规则未覆盖

1. 背景：外包团队可访问内部系统和文档。
2. 问题：使用规则仅面向正式员工。
3. A.5.10动作：将外包人员纳入统一可接受使用规则，并在准入时签收确认。
4. 结果：边界更一致，风险更可控。
5. 启示：适用范围不完整，控制就会留空白。

六、成文信息管理要求

A.5.10通常需要通过规则文件、适用范围说明、宣导记录、技术配置和违规处理痕迹来证明。审核员尤其会关注规则是否能被现场人员说清并在系统中体现。

七、常见误区及踩坑提醒