对于ISO 27001，安全从业者都不陌生，它是信息安全体系的重要标准，也是多数企业信息安全建设的依据，甚至是很多大公司服务商选型的准入要求。在构建ISO 27001时，最耗费时间和精力的阶段就是制度文件的建立和要求的落地执行。制度文件的建立限定了ISO 27001的流程规范，落地执行是把制度文件的要求落到实处，保障体系的稳定运行。

从业多年，有幸在某家企业从0开始建设ISO 27001，整个过程有收益良多。本篇文章跟大家分享一下ISO 27001的制度文件策划，希望能帮正在建设ISO 27001或比较迷茫的人，解决如下问题：

1.如何策划ISO 27001制度文件；

2.制度文件一般包含哪些内容；

3.制度文件修订过程中常见的问题有哪些；

企业做ISO 27001有二个需求，第一是商务需求，获取认证来满足招投标的需要；第二是业务需求，企业发展到一定阶段需要把安全作为一个体系融合到日常工作和业务中。第一种需求比较好实现，可以找一家咨询服务商，进行服务外包，企业只需要做好项目管理和验收就可以了。第二种需求相对比较困难，需要结合企业的实际业务，思考制度文件的合理性、可行性以及跟业务效率的平衡性。本片探讨的是在第二种需求中，如何去策划制度文件。

ISO 27001的建立标准来自于《GBT22080-2016 信息技术 安全技术 信息安全管理体系 要求》，企业在体系建立前应确定认证范围，就是企业的哪些部门或业务要放在体系监管下，遵守体系要求，按照体系流程执行。制度文件的修订是围绕认证范围展开的，比如你的认证范围不包含外包业务，那么制度文件就不需要策划外包管理部分。

在策划制度文件时，首先要制定并输出的是《适用性声明》，该文件描述了在GB/T 22080-2016 /ISO/IEC 27001:2013附录A中，适用于本企业信息安全管理体系的目标/控制、选择这些目标/控制的理由、现行的控制方式、以及实施这些控制所涉及的相关文件。换个说法，适用性声明就是把体系中的A5-A18的要求整理出来，逐条过，哪一条适用本企业，适用的话需要输出什么文档。基本上适用性声明一出，整个ISO 27001制度文件有几份，每份对应什么内容就出来了，也就完成的制度文件策略的大部分内容。

适用性声明对应的领域对照的策划文件，参考如下：

不同企业对ISO 27001附录的A5-A18的关注和侧重点不用，所以策划的时候，需根据实际情况进行调整。上表基本就是适用性声明的主要内容，根据这个表格就可以确定体系文件目录及文件需覆盖内容。经过整理，必要的ISO 27001体系文件如下：

体系文件制定过程中，经常会出现没意识带或意料外的问题，这些问题主要体现在如下几方面：

1.目标无法考核。在管理手册或其他文件中，制定的安全目标或标准要求无法考核。如重大信息安全泄露不超过0起，但是整套体系文件缺少对重大信息安全泄露的定义，什么叫做重大信息安全泄露，2个员工的邮箱信息泄露是不是，高管的个人隐私信息泄露是不是，结果就导致该信息安全目标无法考核和衡量。还存在一种情况，如规定年度信息安全培训考核通过率为98%，但是培训系统的考核数据只保留30天，年底统计数据的时候，发现只有12月份数据，导致该目标无法统计。

2.内容脱离业务现状。如在计算机控制程序中，规定晚上10:00后，计算机必须全部关机，并使用终端管理软件执行关机操作。但有些测试部门的设备晚上是不能关机的，必须每晚都跑以测试性能，该条规定就影响到测试部门的工作，进而影响业务，所以是不合理的。应调研业务部门的实际状况，并根据实际需求，进行分区域管控或分业务管控。

3.制度要求不被执行。制度文件发布后，明确了体系的管控要求，但是没有按照要求执行。如计算机控制程序规定要封禁U口，但实际并没有，员工可以任意拷贝文件。要求3个月更换密码，实际也没有执行，员工的密码从来不修改等。

4.制度要求不明确。如信息安全事件控制程序中，规定信息安全事件需及时上报。这个内容就很模糊，1小时算不算及时、2小时呢、12小时呢？再比如业务连续性管控程序中规定业务持续中断4小时，必须上报总经理。这个内容也是不明确的，所有业务中断4小时都要上报吗？一些非核心系统，如机房进入登记系统，中断4小时也要上报给总经理吗？实际上机房进入登记系统中断4小时，不会对业务造成影响，我们只需要手工登记一下就可以了，没必要上报到总经理层面。

ISO 27001是一套相对复杂，推行难度较大的体系。难度主要体现在持续维持的资源投入和对业务效率的平衡。制度文件是整个体系的核心，是纲领和指导，前期策划好制度文件，能规避体系运行过程中会出现的大部分问题，让体系运行更稳固。愿企业都能策划满足自身需要的制度文件，并将ISO 27001整合到业务中，让安全不仅是保值部分，还是增值部分！

*本文原创作者：softgirl，本文属于FreeBuf原创奖励计划，未经许可禁止转载