一、ISO/IEC 27001:2022 附录A.5.13 控制原文

二、条款解读说明

2.1 标记是分级制度进入现场的桥梁

在很多组织里，信息分级规则看起来并不差，但实际执行效果很弱，原因往往是分级结论没有以清晰方式呈现在文档、系统界面、导出文件、邮件附件、打印件或共享平台中。使用者在实际处理资料时无法快速知道它属于哪一类信息，自然也无法稳定采取对应保护措施。A.5.13的作用，就是把A.5.12中抽象的分级结论转化成看得见、识别得出、便于传递的标记机制。

这项控制也不是要求所有信息都进行繁琐标记。合理做法通常是对高敏感信息、关键业务信息、重要记录和高价值资料优先标记，对低风险信息可采用更简化方式。关键在于标记是否与信息价值和使用场景匹配，而不是一刀切地让所有文档都套相同标签。

2.2 关键要点拆解

2.3 标记不等于保护，但会显著影响保护效果

标记本身并不会自动防止信息泄露，它只是让人和系统更容易识别应采取何种保护措施。例如，带有“高敏”标记的文档可以触发更严格的共享限制、打印限制或审批流程。也就是说，标记的真正价值在于它能驱动后续控制动作。如果标记和处理规则断开，标记就会沦为视觉装饰。

三、实施要点

3.1 建立清晰的标记规则

• 为每个信息等级定义统一标记格式，例如页眉页脚文字、封面标签、系统字段或邮件主题前缀。
• 规则应尽量简洁，避免现场需要反复查表。
• 对高敏信息优先强制标记，对低敏信息可采取简化策略。

3.2 覆盖主要载体和场景

• 电子文档、纸质资料、邮件附件、导出报表、共享链接和系统界面应根据需要采用不同标记方式。
• 对结构化数据可通过字段、标签、目录规则或系统属性实现标识。
• 避免只在办公文档里做标记，而忽视数据导出和打印件。

3.3 把标记与处理规则联动

• 明确不同标记对应的共享、打印、传输、存储、保留和销毁要求。
• 在高风险场景中尽量让系统依据标记自动施加限制。
• 让员工知道“看到这个标记后应该怎么做”。

3.4 处理自动化与人工标记边界

• 对标准化程度高的信息优先考虑自动标记，减少人为漏标。
• 对项目性、临时性和业务判断性强的信息，可由所有者或创建人进行人工标记。
• 两种方式应有统一映射标准，避免标签冲突。

3.5 定期抽查标记一致性

• 检查分级和标记是否一致、标记是否被误用，以及标记是否帮助了后续控制。
• 对高敏资料、常用共享目录和导出文件优先抽查。
• 发现大量漏标或误标时，应回到分级和流程设计层面复盘。

四、常用工具与实施方法

五、典型案例

案例一：高敏文件分级了但无人可识别

1. 背景：组织已有分级规则。
2. 问题：员工拿到文件时无法判断它属于哪一等级。
3. A.5.13动作：统一在页眉和文件属性中标记高敏等级。
4. 结果：共享和外发时误操作明显减少。
5. 启示：分级结论必须被使用者看见。

案例二：邮件附件未标记导致外发边界模糊

1. 背景：员工常将内部文件通过邮件共享给外部合作方。
2. 问题：附件本身无任何等级提示，审批要求经常被忽略。
3. A.5.13动作：为敏感附件增加主题前缀和自动标签策略。
4. 结果：外发审批一致性提升。
5. 启示：标记在流转场景中价值更大。

案例三：纸质打印件成为分级盲区

1. 背景：电子文档已有标签。
2. 问题：打印后标签消失，纸质资料在会议中被随意流转。
3. A.5.13动作：在打印模板中保留页眉等级标记，并要求会后回收。
4. 结果：纸质件控制明显改善。
5. 启示：标记应覆盖信息形态变化后的载体。

六、成文信息管理要求

A.5.13的审核证据重点在于：组织是否建立了标记规则，标记是否与分级一致，以及标记是否真正进入文档和系统场景。关键不只是制度文本，还包括实际样例和抽查结果。

七、常见误区及踩坑提醒