general
ISO 27001 信息安全风险准备基础
general审核 2026年9月7日 · 范围 2026-09
从信息资产、威胁识别到风险处理，建立可执行的信息安全基础。
ISO 27001 信息安全风险准备
先建立信息资产清单
列出业务系统、终端、云服务、纸质记录、供应商和关键数据，指定所有者、用途、位置和敏感程度。本文是实践建议，不替代 ISO 27001 标准、法律或客户要求。
用场景分析风险
结合机密性、完整性和可用性，记录未授权访问、丢失、恶意软件、错误配置和供应商中断等场景，说明现有控制和剩余风险。
让处理计划可验证
为高风险事项指定负责人、期限、控制措施和验收证据；变更系统、供应商或业务流程后重新评估，并保留审查和批准记录。