ISO／IEC 27001信息安全管理体系实施与内审全套底稿｜风险评估、控制适用性、供应链、事件、内审与管理评审

ISO/IEC27001ISMS实施与内审全套底稿 版本2026.07｜可编辑执行版模板须结合组织范围、适用法律、合同与技术环境本地化；不构成认证、安全或法律保证。第1页/共1页SECURITYCONTROLROOM/2026.07ISO/IEC27001信息安全管理体系实施与内审全套底稿风险评估、控制适用性、供应链、事件、内审与管理评审86个可编辑工具20组空白+示例5道阶段门禁适用对象信息安全负责人·体系负责人·IT经理·咨询顾问·内审员产品承诺从范围与风险准则，到控制选择、运行证据、内审、管理评审和纠正措施，形成一套可启动、可运行、可审计的完整项目包。版本：2026.07·发布日期：2026-07-14·示例组织/人员/金额/系统均为虚构

STARTHERE｜先用这4页，不要从头读到尾这不是标准摘抄，而是一套把风险、控制、责任、运行记录和审计证据串成闭环的实施底稿。最短三步①批准范围与项目负责人；②先完成总控台账、风险准则和风险登记册；③只让通过GATE2的控制进入运行与取证。你是谁先打开本周必须完成得到的结果管理层/CEO管理层一页纸、GATE1/5批准范围、风险偏好、资源与残余风险有签字的管理评审决议信息安全负责人总图、风险登记册、SoA、证据索引组织评估、处置和运行证据可追溯ISMS主档案IT/运维/研发控制工具页与运行台账把政策变成可验证技术与记录配置、日志、备份、变更、测试证据采购/法务/隐私供应商、合同、法律义务台账确认第三方与合规边界尽调、条款、通知与退出证据内审员审计方案、抽样、底稿、发现与复测独立验证体系有效性审计报告、CAPA和关闭证据立即停止并升级专业复核范围涉及关键信息基础设施、重要数据/数据出境、敏感个人信息、大规模监控、重大安全事件、行业强监管、密码合规或认证合同解释时，不得仅凭本模板作结论。最终交付什么范围、环境、资产、风险准则、风险评估、风险处置与控制适用性全链路。人员、访问、加密、物理、运维、供应商、开发、事件、连续性与合规运行证据。86个可编辑工具；20个核心工具提供明确“空白版+已填写示例”。贯穿案例“云序科技”：三项证据不足导致阻断，整改、复测后形成条件结论。工具索引、证据索引、字段本地化、来源清单、版本记录和发布前自检。

交付物地图｜按“决策”导航从管理层决策到审计关闭，每一步都有输入、责任人、输出与证据。决策问题对应章节关键工具管理层看到的证据范围是否清楚？01启动、环境与范围PRJ-01~08范围声明、RACI、总控台账哪些资产和风险优先？02资产、风险与SoAAST/RSK/SOA风险登记册、处置计划、SoA人员、访问与物理是否受控？03人员、访问、加密与物理HUM/IAM/CRY/PHY授权、复核、密钥、物理记录日常技术运行是否留痕？04安全运维OPS-01~10配置、变更、漏洞、备份、日志供应链能否验证和退出？05供应商安全SUP-01~05尽调、合同、监控、退出开发和变更能否安全发布？06安全开发DEV-01~05需求、测试、发布、环境隔离发生事件如何止损和学习？07事件管理INC-01~05分级、响应、通知、复盘中断后能否恢复？08业务连续性BCM-01~05BIA、RTO/RPO、演练、恢复证据如何证明持续有效？09-11监测、内审、管理评审、CAPACMP/MON/AUD/MRM/CAP结论、决议、纠正与复测追溯底线任何“已完成、已通过、可接受”的结论，至少引用证据ID、版本、日期、责任人和批准人；不接受“见邮件”“已沟通”“系统默认如此”。

最短启动路线｜1天建立可工作的ISMS主骨架先建立可控的项目和证据结构，再补齐控制细节。时间动作使用工具完成定义09:00-10:00任命项目负责人，批准初始范围与排除项PRJ-01/02范围负责人、业务边界、接口清楚10:00-11:30建立RACI、总控台账和证据编号规则PRJ-05/06/07每项只有1个A；证据位置可访问13:30-15:00确认风险准则与资产清单口径AST-01/RSK-01风险算法、接受权、资产所有者批准15:00-17:00完成首轮风险工作坊与风险登记册RSK-03/04至少覆盖核心服务、人员、供应商与恢复17:00-18:00召开GATE1并发布30天计划PRJ-08阻断项、责任人、期限、下一次评审第一天不要做不要先写几十份制度；没有范围、风险准则和证据结构时，制度越多，后续重写越多。30天内的最小成功周次目标最低证据第1周范围、资产、风险、SoA骨架批准范围、资产清单、风险登记册V1、控制适用性草案第2周高风险控制落地离职权限、备份恢复、供应商、事件与漏洞的运行记录第3周取证和自查证据索引、控制自评、抽样缺口、CAPA第4周内审准备审计计划、底稿、发现、管理评审输入包

全流程总图｜风险—控制—运行—审计闭环每个箭头都要有可验证的输入和输出。1范围与环境组织边界、相关方、法律/合同、接口2资产与风险资产、威胁、脆弱性、影响、可能性3处置与SoA避免/降低/转移/接受，选择或设计控制4控制设计责任、频率、阈值、例外、记录、技术配置5运行与取证日志、工单、审批、测试、培训、演练、复核6监测与内审KPI、抽样、访谈、再执行、发现分级7管理评审适宜性、充分性、有效性、资源和风险接受8CAPA改进根因、纠正、纠正措施、复测、横展循环触发器重大组织变化、重大事件、供应商/云架构变化、法律合同变化、新产品上线、审计发现或控制失效，均应触发范围/风险/SoA的重新评审。

五道阶段门｜不满足不得进入下一步门禁不是会议名称，而是带阻断权的证据决定。门禁必须回答最低证据未通过动作GATE1范围与启动范围、相关方、责任和资源是否清楚？批准范围、RACI、项目计划退回补充；不得启动风险评估GATE2风险与处置风险准则、风险登记册和处置是否一致？风险准则、登记册、处置计划、SoA草案高风险无责任/期限即阻断GATE3控制运行关键控制是否已运行并产生证据？权限、供应商、备份恢复、事件、漏洞等证据只有制度无运行记录即阻断GATE4内审就绪审计范围、独立性、样本和缺口是否可验证？审计计划、底稿、发现、CAPA重大不符合未受控即阻断管理评审放行GATE5管理评审与外部准备体系是否适宜、充分、有效，残余风险是否获授权接受？管理评审输入/输出、资源决定、关闭证据不得宣称认证保证；必要时延后外部审核条件批准规则条件批准必须写明：不得开展的事项、补偿控制、责任人、到期日、复核人和自动失效条件。

RACI｜把决定权和阻断权写清楚A=最终负责；R=执行；C=咨询；I=知会。每项只能有1个A。活动ARCI批准范围/政策总经理ISMS负责人业务/法务/IT全员风险准则/接受风险委员会ISMS负责人业务/技术/财务内审资产/风险评估业务负责人资产所有者+安全IT/供应商管理管理层控制设计与运行控制所有者运维/HR/研发/采购安全/法务内审证据索引与版本ISMS负责人文控员控制所有者审计组内部审核审计负责人内审员受审核部门管理层管理评审最高管理者ISMS负责人部门负责人/内审相关方CAPA关闭发现责任部门负责人行动责任人内审/安全管理层冲突检查控制设计者可以提供事实，但不应独立审核自己设计和运行的控制；无法完全独立时，记录风险并增加二次复核。

总控台账｜一页看清项目、风险、证据和阻断项这是项目管理与体系管理的共同入口。ID主题关联工具责任人状态最新证据阻断/缺口下一日期批准人M-001范围与接口PRJ-02体系负责人进行中SCP-E003/V1/07-15客户支持外包边界待确认07-18法务M-014离职权限HUM-04/IAM-03IT经理阻断IAM-E022/V2/07-125个离职账号未及时回收07-17CIOM-027关键供应商SUP-02/03采购经理条件SUP-E011/V1/07-10分包方证据不足07-25风险委员会M-035恢复演练OPS-07/BCM-05运维经理阻断BCM-E018/V1/07-11仅有截图，无完整性验证07-22COO状态语言候选/已批准/进行中/条件/阻断/待复测/已关闭。不得用“差不多完成、基本没问题”。

风险登记册｜把资产、场景、控制和证据连接起来示例参数均为“云序科技”虚构值，不是通用阈值。ID风险场景资产脆弱性影响固有风险处置/控制残余风险风险所有者证据ID决定R-014离职人员仍可访问生产运维平台生产平台/客户数据凭据未撤销+共享服务账号未授权访问、泄露、篡改4×5=20极高自动回收、每日对账、特权账号复核2×5=10中CIOIAM-E022条件接受/07-31R-027关键监控供应商中断或发生安全事件监控与告警尽调与退出路径不足延迟发现攻击、SLA违约3×4=12高分级尽调、通知条款、替代监控、退出演练2×4=8中IT经理SUP-E011整改中R-035备份存在但恢复不可用客户数据库未完成隔离恢复与完整性验证服务中断、数据不可用4×5=20极高季度恢复、完整性校验、RTO/RPO计时1×5=5低运维经理BCM-E018待复测风险写法使用“由于[威胁/事件]利用[脆弱性]影响[资产/过程]，导致[业务/法律/客户后果]”，避免只写“黑客攻击、数据泄露”。

证据索引｜没有索引，就没有可重复的审计结论每项结论都可定位到版本化证据。证据ID名称关联工具版本/日期所有者存储位置支持结论权限保留IAM-E022离职权限复核与回收日志HUM-04/IAM-03V2.0/2026-07-12IAM管理员受控库/Access/Q3R-014控制运行；CAPA复测安全/内审2027-07-12SUP-E011关键供应商尽调与合同差距SUP-02/03V1.0/2026-07-10采购经理受控库/Supplier/MoniProR-027处置与条件批准采购/法务/审计合同结束+组织期限BCM-E018数据库隔离恢复演练报告OPS-07/BCM-05V2.0/2026-07-22运维经理受控库/BCM/RestoreR-035复测与GATE3运维/安全/内审组织确认证据质量五问谁生成？何时生成？覆盖什么范围？是否可复现？谁独立复核？截图应能定位原系统、时间和查询条件，不能替代完整记录。

管理层一页纸｜只呈现需要决定的事情管理评审不是汇报会，必须形成资源、风险接受、暂停或改进决定。管理主题事实与证据管理层决定范围与变化范围覆盖SaaS生产、研发、客户支持；新增海外客户数据接口待法务评估是否暂缓接口纳入生产重大风险3项极高/高风险：离职权限、供应商、恢复证据批准整改资源与截止日控制运行关键控制通过率82%；权限与恢复存在阻断是否延后外部认证准备事件/不符合本期0起重大事件；内审2项重大、3项一般接受整改计划并要求复测绩效与目标培训96%；高危漏洞关闭按组织目标达标；恢复演练首次失败调整恢复目标与演练频率资源需0.5FTEIAM自动化、供应商审查预算、隔离恢复环境批准/拒绝/分期本期建议决定GATE3暂不通过；批准三项CAPA，完成独立复测后再召开特别管理评审。

贯穿案例（1/5）｜云序科技：初始假设与范围案例组织、人员、客户、金额、系统和数据均为虚构，仅用于演示填写。要素虚构设定组织云序科技有限公司，120人，向企业客户提供多租户SaaS工单与协作服务认证准备触发重点客户安全审查与招投标要求；计划建立ISO/IEC27001:2022ISMS初始范围SaaS生产环境、云平台运维、产品研发、客户支持及相关HR/采购流程核心资产客户租户数据、源代码、云账号、密钥、监控告警、备份、员工身份风险方法5×5定性矩阵；阈值、接受权限均为虚构组织参数项目目标90天建立可运行体系并完成内审与管理评审；不承诺获得认证初始判断管理层认为现有云安全控制“基本成熟”，只需补文档。首次证据评审改变了这一判断。

贯穿案例（2/5）｜首次评审：三项关键证据不足不是“制度有没有”，而是控制是否运行、可追溯、可复测。发现首次证据判断门禁影响离职权限HR有离职名单；IAM仅保留月度截图，抽样发现5个离职账号仍有访问高风险控制失效；证据不足以证明及时回收GATE3阻断供应商审查监控供应商有合同和SOC报告，但无分包方、事件通知和退出验证关键供应商风险未闭环GATE3条件/阻断恢复演练备份任务成功；演练报告只有控制台截图，未验证应用启动、数据完整性和RTO/RPO“有备份”不等于“可恢复”GATE3阻断判断改变原计划两周后直接内审，调整为先完成三项CAPA与独立复测；外部认证准备窗口顺延。

贯穿案例（3/5）｜整改动作与关闭证据每个动作都需要责任、期限、证据和有效性验证。问题纠正/遏制根因措施关闭证据离职权限立即停用5个账号、轮换共享凭据HR-IAM每日对账；JML工单强制关联；特权账号月度独立复核IAM-E022V2；连续20个工作日对账；抽样0遗漏供应商限制供应商远程访问；补发证据请求建立供应商分级；合同补充事件通知、分包、删除与退出；季度评分SUP-E011V2；合同附录；替代监控切换测试恢复演练确认备份未被篡改；准备隔离环境季度端到端恢复；应用与数据完整性校验；记录RTO/RPO偏差BCM-E018V2；日志、校验结果、业务签字阻断规则任何一项复测失败，GATE3仍不通过；不得用管理层口头接受替代证据。

贯穿案例（4/5）｜复测与再评审复测由未参与原控制运行的人员执行，保留样本与再执行记录。复测项通过线（虚构组织参数）结果结论离职权限离职工单关闭后4小时内撤权；特权账号无孤儿账户抽样25人，24人按目标；1个第三方账号超时但已自动告警控制改善；保留一般不符合供应商关键问题有证据或正式风险接受；退出路径可执行补齐分包清单和通知条款；30分钟切换到备用告警通过恢复演练在批准RTO内恢复；数据一致性检查通过；业务签字82分钟恢复，低于虚构RTO120分钟；一致性通过通过证据链证据ID、版本、日期、所有者、批准人完整三项主证据可定位；第三方账号CAPA待持续监测条件通过再评审决定GATE3条件通过：允许进入内审；第三方账号自动回收需在管理评审前提供连续运行证据。

贯穿案例（5/5）｜最终结论与经验横展最终不是“全部完美”，而是风险透明、缺口受控、证据可复核。阶段结论证据/决定内部审核2项重大阻断已关闭；1项一般不符合（第三方账号超时）；2项改进机会AUD-E034、CAP-E019管理评审体系总体适宜且关键风险下降；批准条件性外部准备，不承诺认证结果MRM-E007V1残余风险第三方账号回收残余风险由CIO限期接受，30天后复审RSK-A014经验横展将JML每日对账扩展到VPN、代码仓库、工单平台；恢复证据模板扩展到对象存储CAP-05横展清单最终状态可进入认证机构选定与预审准备；仍需核验适用法律、认证范围和认证机构要求GATE5决议核心教训“有制度、有备份、有供应商报告”均不能直接证明控制有效；需要运行记录、抽样、失败证据、根因整改和独立复测。

工具速查｜86个可编辑工具按代码检索；完整字段索引与页码见文末。代码组主题工具数PRJ启动、环境、范围、RACI、总控、证据、路线图8AST/RSK/SOA资产、风险准则、评估、处置、风险接受、控制适用性11HUM/IAM/CRY/PHY人员、访问、加密、物理安全15OPS配置、变更、漏洞、补丁、恶意代码、备份、恢复、日志、容量、介质10SUP供应商分级、尽调、合同、持续评价、退出5DEV安全开发门、需求、测试、环境、发布5INC事件报告、分级、响应、通知、复盘5BCMBIA、RTO/RPO、连续性、演练、报告5CMP/MON法律合同、知识产权、KPI、自评、取证抽样6AUD审核方案、计划、访谈、底稿、抽样、发现、报告7MRM/CAP管理评审、根因、纠正措施、有效性、横展920组空白+示例PRJ-02/05/06/07、RSK-01/04/05、SOA-02、IAM-03、CRY-02、OPS-06/07、SUP-02/03、INC-02、BCM-04、AUD-04/06、MRM-03、CAP-01。

静态目录（1/2）｜实施主线页码根据最终渲染结果生成。章节起始页01启动、环境与范围2202资产、风险与控制适用性3103人员、访问、加密与物理安全4304安全运维5905供应商与供应链7006安全开发与变更7607信息安全事件8208连续性与恢复8809合规、监测与证据9410内部审核10111管理评审与CAPA109阅读建议实施负责人按01→11顺序；管理层优先看前20页与第11章；内审员优先看风险登记册、证据索引和第10章。

静态目录（2/2）｜案例与附录内容起始页贯穿案例详版｜云序科技认证准备119附录A｜工具总索引123附录B｜证据索引空白总表125附录C｜字段本地化清单126附录D｜官方来源与权威框架127附录E｜版本变更记录130附录F｜发布前自检表131版权边界本工具包不复制受版权保护的标准正文；控制映射需由购买者依据其合法取得的标准文本完成。

100天落地路线图｜从项目启动到持续改进时限为建议路径，不是认证机构或法律统一要求。时间阶段核心工作成果/门禁D1-D5启动与范围批准范围、RACI、项目台账、临时证据规则GATE1D6-D20资产与风险资产、风险准则、风险登记册、处置、SoA草案GATE2D21-D55控制落地优先完成权限、恢复、供应商、事件、漏洞、日志关键控制证据D56-D70运行与自评运行至少一个组织批准周期，建立KPI与证据索引GATE3D71-D82内部审核审核方案、抽样、发现、CAPAGATE4D83-D95整改复测根因、措施、独立复测、横展关闭证据D96-D100管理评审适宜性/充分性/有效性、资源与残余风险决定GATE5持续季度/年度循环风险、SoA、供应商、演练、内审、管理评审改进计划原则优先让高风险控制产生真实运行证据；不要为满足页数而制造无用制度。

项目就绪度评分卡｜前20页最后一道入口任一红旗项触发阻断，不由总分抵消。维度通过标准分值红旗范围与责任范围/接口/排除项批准；RACI无冲突0-10范围口头、无批准人风险方法准则、阈值、接受权限一致0-15先选控制后倒推风险高风险控制权限、恢复、供应商、事件、漏洞有运行证据0-25只有制度/截图证据链证据ID、版本、日期、所有者、存储与权限完整0-15审计时临时找材料内审独立性方案、样本、底稿、发现与复测可重复0-15审核自己运行的控制管理评审输入完整，形成资源、风险与改进决定0-10只汇报亮点CAPA根因、措施、有效性、横展0-10只纠正表面问题建议解释≥85且无红旗：可进入外部准备；70-84：条件准备；<70或存在红旗：先整改。阈值仅为模板示例，必须由本组织批准。

CHAPTER01｜启动、环境与范围先回答“为什么做、边界在哪里、谁负责、证据放哪里”本章交付项目章程、范围声明、环境与相关方、政策目标、RACI、总控台账、证据规则、阶段门。这一章解决什么决策/风险先回答“为什么做、边界在哪里、谁负责、证据放哪里”。本章所有工具均要求把责任、时点、输入、输出和关闭证据写清楚，并与风险登记册、SoA和证据索引保持一致。常见失败模式范围口头化，外包接口被错误排除职责多人负责但无人最终负责项目进度与风险、证据脱节本章完成定义关键工具已填写并批准；阻断项有关闭证据；控制运行记录覆盖组织批准的期间；任何条件批准有责任、期限和复核。

PRJ-01ISMS项目章程明确目标、授权、资源、节奏与成功/停止条件。责任人最高管理者/项目发起人关键输入业务触发、客户要求、组织战略输出/关闭证据批准章程与项目日历使用时点项目启动；重大变化时使用说明在“项目启动；重大变化时”使用；输入来自“业务触发、客户要求、组织战略”；由“最高管理者/项目发起人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期项目目标业务触发范围假设项目负责人治理机构预算/资源主要里程碑停止/升级条件填写示例（虚构）云序科技批准90天准备项目，但明确“完成底稿不等于获得认证”。字段与关闭提示关键字段包括：项目目标、业务触发、范围假设、项目负责人。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：章程只有愿景，没有决定权和停止条件。完成标准：发起人签字；资源、授权、里程碑和升级条件完整。

PRJ-02ISMS范围与边界声明决定哪些组织、地点、人员、过程、技术和接口纳入ISMS。责任人ISMS负责人+业务负责人关键输入组织结构、服务地图、合同、系统架构输出/关闭证据批准范围声明与排除理由使用时点GATE1；组织/架构变化使用说明在“GATE1；组织/架构变化”使用；输入来自“组织结构、服务地图、合同、系统架构”；由“ISMS负责人+业务负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期组织/法人产品/服务地点/环境业务过程信息系统人员/职能外部接口排除项及理由批准/复核日已填写示例（虚构）字段填写内容/选择证据或来源责任/日期组织/法人范围包括SaaS生产、研发、客户支持及支撑HR/采购；办公楼物业安保为接口而非简单排除。示例证据：PRJ02-E001示例负责人/2026-07-14产品/服务按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：组织/法人、产品/服务、地点/环境、业务过程。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：用“全公司”代替边界说明，或把外包过程当作不适用。完成标准：范围可让第三方准确判断边界；接口、依赖和排除均有理由与批准。

PRJ-03组织环境与相关方清单识别影响ISMS目标的内外部问题、相关方及其要求。责任人ISMS负责人+法务/业务关键输入战略、合同、监管、客户问卷、事件趋势输出/关闭证据环境与要求登记册使用时点启动；季度/重大变化使用说明在“启动；季度/重大变化”使用；输入来自“战略、合同、监管、客户问卷、事件趋势”；由“ISMS负责人+法务/业务”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期内外部议题相关方要求/期望来源适用性风险/机会责任人复核频率填写示例（虚构）客户要求24小时内安全事件初报；是否属于合同硬要求由法务确认。字段与关闭提示关键字段包括：内外部议题、相关方、要求/期望、来源。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只列“法律、客户”，不写具体要求和证据来源。完成标准：每项要求有来源、适用性、责任和复核时间。

PRJ-04ISMS政策与目标批准单把方向性政策转化为可测量目标、责任和监测。责任人最高管理者+ISMS负责人关键输入范围、风险、业务目标输出/关闭证据批准政策与年度目标使用时点范围批准后；年度使用说明在“范围批准后；年度”使用；输入来自“范围、风险、业务目标”；由“最高管理者+ISMS负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期政策承诺适用范围安全目标指标/公式目标值_组织参数资源责任人监测频率批准人填写示例（虚构）目标示例：关键系统恢复演练按批准计划完成，失败必须形成CAPA；目标值由组织确认。字段与关闭提示关键字段包括：政策承诺、适用范围、安全目标、指标/公式。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：目标写“零事故、百分百安全”，不可测也不可控。完成标准：政策发布；目标可测、可归责、可复核，且与风险一致。

PRJ-05ISMSRACI与职责冲突表把范围、风险、控制、审计和风险接受的决定权落到岗位。责任人ISMS负责人/HR关键输入组织架构、岗位说明、流程输出/关闭证据批准RACI与冲突补偿控制使用时点GATE1；组织变更使用说明在“GATE1；组织变更”使用；输入来自“组织架构、岗位说明、流程”；由“ISMS负责人/HR”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期活动AccountableResponsibleConsultedInformed阻断权职责冲突补偿控制已填写示例（虚构）字段填写内容/选择证据或来源责任/日期活动风险接受由风险所有者A，ISMS负责人R；内审员不审核自己运行的IAM控制。示例证据：PRJ05-E001示例负责人/2026-07-14Accountable按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：活动、Accountable、Responsible、Consulted。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：同一活动多个A，或风险岗位只有I。完成标准：每项仅1个A；冲突和阻断权书面化。

PRJ-06ISMS总控台账集中管理范围、风险、工具、状态、证据、阻断与下一决策。责任人ISMSPMO/文控员关键输入项目计划、风险、控制、CAPA输出/关闭证据管理层总控视图使用时点每周更新使用说明在“每周更新”使用；输入来自“项目计划、风险、控制、CAPA”；由“ISMSPMO/文控员”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期主控ID主题/工作包关联风险/工具责任人状态证据ID/版本阻断/依赖下一日期批准人已填写示例（虚构）字段填写内容/选择证据或来源责任/日期主控IDM-035恢复演练因缺少完整性验证标为“阻断”，而不是“90%完成”。示例证据：PRJ06-E001示例负责人/2026-07-14主题/工作包按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：主控ID、主题/工作包、关联风险/工具、责任人。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只看进度百分比，隐藏风险和条件。完成标准：所有开放项有责任、期限、证据和下一决定。

PRJ-07证据编号与索引规则建立审计证据的命名、版本、存储、权限和保留规则。责任人文控员+内审负责人关键输入文档管理规则、系统记录输出/关闭证据证据索引与访问规则使用时点项目启动；持续使用说明在“项目启动；持续”使用；输入来自“文档管理规则、系统记录”；由“文控员+内审负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期证据ID名称关联风险/控制版本/日期生成者所有者存储位置访问权限保留/销毁已填写示例（虚构）字段填写内容/选择证据或来源责任/日期证据IDIAM-E022关联R-014与IAM-03，保留查询条件、原始导出和复核签字。示例证据：PRJ07-E001示例负责人/2026-07-14名称按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：证据ID、名称、关联风险/控制、版本/日期。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：把截图、邮件散落在个人文件夹，名称不可检索。完成标准：任何审计结论可在5分钟内定位证据及版本。

PRJ-08阶段门评审记录记录证据、异议、条件、阻断和最终决定。责任人阶段门主席/秘书关键输入门禁材料、风险与缺口输出/关闭证据批准/条件/退回/终止记录使用时点每个GATE使用说明在“每个GATE”使用；输入来自“门禁材料、风险与缺口”；由“阶段门主席/秘书”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期门禁编号材料清单结论未关闭问题反对意见条件/期限不得前进事项决定批准人填写示例（虚构）GATE3条件通过：允许内审，但第三方账号自动回收连续证据未完成前不得GATE5放行。字段与关闭提示关键字段包括：门禁编号、材料清单、结论、未关闭问题。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：口头同意，会议纪要不写条件和异议。完成标准：决定、条件、责任、期限和阻断边界完整。

CHAPTER02｜资产、风险与控制适用性把风险判断变成可追溯的控制选择本章交付资产、分类、风险准则、场景库、评估、登记册、处置、接受、监测、SoA。这一章解决什么决策/风险把风险判断变成可追溯的控制选择。本章所有工具均要求把责任、时点、输入、输出和关闭证据写清楚，并与风险登记册、SoA和证据索引保持一致。常见失败模式先抄控制清单再倒推风险风险评分无理由或事后改阈值SoA写“已实施”但无运行证据本章完成定义关键工具已填写并批准；阻断项有关闭证据；控制运行记录覆盖组织批准的期间；任何条件批准有责任、期限和复核。

AST-01信息资产与支撑资产清单识别信息、系统、服务、人员、场所和供应商资产及所有者。责任人资产管理员+业务所有者关键输入CMDB、数据清单、采购、访谈输出/关闭证据批准资产清单使用时点范围后；月度/季度使用说明在“范围后；月度/季度”使用；输入来自“CMDB、数据清单、采购、访谈”；由“资产管理员+业务所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期资产ID资产名称/类型业务用途所有者位置/供应商信息分类依赖关键性生命周期状态填写示例（虚构）客户租户数据依赖云数据库、KMS、IAM和监控服务，不能只登记“数据库”。字段与关闭提示关键字段包括：资产ID、资产名称/类型、业务用途、所有者。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只盘点硬件，漏掉信息、服务、账号和外包。完成标准：范围内关键过程均可追溯到资产、所有者和依赖。

AST-02信息分类与处理规则矩阵将分类等级对应到访问、传输、存储、共享、保留和销毁控制。责任人数据所有者+安全/隐私关键输入分类制度、合同、法律要求输出/关闭证据分类处理矩阵使用时点资产盘点后；年度使用说明在“资产盘点后；年度”使用；输入来自“分类制度、合同、法律要求”；由“数据所有者+安全/隐私”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期信息类别示例分类等级访问角色传输/存储外部共享保留销毁标记/审计填写示例（虚构）客户租户数据不得进入个人云盘；外发须合同授权并保留审批。字段与关闭提示关键字段包括：信息类别、示例、分类等级、访问角色。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：分类只有名称，没有操作规则。完成标准：每类信息有具体可执行控制和例外路径。

RSK-01信息安全风险准则批准可能性、影响、风险等级、接受阈值和升级权限。责任人风险委员会关键输入范围、业务影响、法律合同、风险偏好输出/关闭证据批准风险准则使用时点GATE2前；年度使用说明在“GATE2前；年度”使用；输入来自“范围、业务影响、法律合同、风险偏好”；由“风险委员会”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期评估对象可能性尺度影响维度计算方法风险等级接受阈值_参数接受权限复核触发版本批准已填写示例（虚构）字段填写内容/选择证据或来源责任/日期评估对象云序科技采用5×5矩阵；“极高”不得由项目经理接受，参数均为虚构。示例证据：RSK01-E001示例负责人/2026-07-14可能性尺度按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：评估对象、可能性尺度、影响维度、计算方法。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：评估后再调整阈值以让风险看起来可接受。完成标准：尺度、算法、阈值、权限和触发器事前批准。

RSK-02威胁、脆弱性与风险场景库建立适合本组织的风险场景词库，支持一致评估。责任人安全架构师+业务专家关键输入历史事件、威胁情报、架构、审计发现输出/关闭证据风险场景库使用时点风险工作坊前；季度使用说明在“风险工作坊前；季度”使用；输入来自“历史事件、威胁情报、架构、审计发现”；由“安全架构师+业务专家”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期场景ID威胁/事件脆弱性受影响资产CIA影响业务后果现有控制适用范围来源/日期填写示例（虚构）离职人员凭未回收令牌访问生产，导致客户数据未经授权披露。字段与关闭提示关键字段包括：场景ID、威胁/事件、脆弱性、受影响资产。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只列“黑客、病毒、火灾”，不写业务后果。完成标准：场景可直接用于风险登记册，且覆盖人、过程、技术、供应链。

RSK-03风险识别与评估工作表按统一步骤识别风险、现有控制、固有风险和残余风险。责任人风险评估小组关键输入资产、场景库、控制证据输出/关闭证据评估工作表与待验证假设使用时点风险工作坊；重大变更使用说明在“风险工作坊；重大变更”使用；输入来自“资产、场景库、控制证据”；由“风险评估小组”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期资产/过程风险场景威胁脆弱性影响可能性固有风险现有控制证据残余风险填写示例（虚构）恢复风险初评极高；“备份成功截图”不足以作为有效控制证据。字段与关闭提示关键字段包括：资产/过程、风险场景、威胁、脆弱性。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：把控制成熟度主观印象直接当残余风险。完成标准：评分有证据和理由；假设、争议和待确认项显式记录。

RSK-04风险登记册形成风险、所有者、处置、证据、残余风险和决定的主记录。责任人ISMS负责人+风险所有者关键输入风险工作表、控制证据输出/关闭证据批准风险登记册使用时点GATE2；月度/季度使用说明在“GATE2；月度/季度”使用；输入来自“风险工作表、控制证据”；由“ISMS负责人+风险所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期风险ID风险场景资产/过程固有风险现有控制处置决定行动/期限残余风险风险所有者已填写示例（虚构）字段填写内容/选择证据或来源责任/日期风险IDR-014离职权限风险由CIO所有；整改后残余中风险，限期接受并30天复审。示例证据：RSK04-E001示例负责人/2026-07-14风险场景按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：风险ID、风险场景、资产/过程、固有风险。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：无风险所有者，或风险登记册与SoA/行动脱节。完成标准：高风险均有决定、责任、期限、证据和批准。

RSK-05风险处置计划把风险决定转为控制、项目、资源、里程碑和验证。责任人风险所有者+控制所有者关键输入风险登记册、方案、预算输出/关闭证据批准处置计划使用时点GATE2；重大风险使用说明在“GATE2；重大风险”使用；输入来自“风险登记册、方案、预算”；由“风险所有者+控制所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期风险ID处置选项拟实施控制控制所有者资源/预算里程碑成功标准证据残余风险评估已填写示例（虚构）字段填写内容/选择证据或来源责任/日期风险IDR-035采用端到端恢复演练、数据一致性校验和季度复测，而不是只增加备份频率。示例证据：RSK05-E001示例负责人/2026-07-14处置选项按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：风险ID、处置选项、拟实施控制、控制所有者。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：行动写“加强管理、持续关注”，不可验证。完成标准：行动可执行、可测量、可取证；残余风险重新评估。

RSK-06残余风险接受单记录谁在什么证据和条件下接受剩余风险。责任人授权风险接受人关键输入处置结果、残余风险、替代方案输出/关闭证据风险接受或退回使用时点处置后；到期复审使用说明在“处置后；到期复审”使用；输入来自“处置结果、残余风险、替代方案”；由“授权风险接受人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期风险ID残余风险已实施控制证据可选方案接受理由条件/期限监控指标接受人填写示例（虚构）CIO条件接受第三方账号超时风险30天，要求每日告警与周报。字段与关闭提示关键字段包括：风险ID、残余风险、已实施控制、证据。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：控制所有者自行接受自己的高风险。完成标准：接受人在授权范围内；条件、期限和复核明确。

RSK-07风险监测与变更复核日志监控风险因素、控制变化、事件和外部变化并触发再评估。责任人ISMS负责人关键输入KPI、事件、变更、供应商、法规输出/关闭证据风险复核记录使用时点月度/季度；触发时使用说明在“月度/季度；触发时”使用；输入来自“KPI、事件、变更、供应商、法规”；由“ISMS负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期日期风险ID触发因素变化证据评分变化行动责任人下次复核填写示例（虚构）云供应商变更KMS区域，触发数据位置、密钥和连续性风险重评。字段与关闭提示关键字段包括：日期、风险ID、触发因素、变化。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：风险登记册一年只更新一次。完成标准：重大变化及时反映到风险、SoA和控制证据。

SOA-01控制适用性决策卡逐项说明控制为何适用/不适用、如何实现及由谁批准。责任人ISMS负责人+风险所有者关键输入风险处置、法律合同、合法取得的标准文本输出/关闭证据适用性决策记录使用时点风险处置后；重大变化使用说明在“风险处置后；重大变化”使用；输入来自“风险处置、法律合同、合法取得的标准文本”；由“ISMS负责人+风险所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期来源控制引用组织控制ID适用/不适用理由对应风险/要求实施方式控制所有者证据状态填写示例（虚构）不适用理由不能只写“无此业务”，需说明范围事实和替代控制。字段与关闭提示关键字段包括：来源控制引用、组织控制ID、适用/不适用、理由。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：把AnnexA当强制清单，或不适用无依据。完成标准：每项决定可追溯风险/要求；不复制标准正文。

SOA-02控制适用性声明（SoA）主表汇总控制选择、适用理由、实施状态、证据和差距。责任人ISMS负责人关键输入决策卡、风险处置、控制运行证据输出/关闭证据批准SoA使用时点GATE2/3/5；持续使用说明在“GATE2/3/5；持续”使用；输入来自“决策卡、风险处置、控制运行证据”；由“ISMS负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期来源引用组织控制名称适用性选择/排除理由实施状态控制所有者关联风险/要求证据ID差距/行动已填写示例（虚构）字段填写内容/选择证据或来源责任/日期来源引用离职权限控制标记“部分实施”，引用IAM-E022和CAP-E019，不因有制度就标“已实施”。示例证据：SOA02-E001示例负责人/2026-07-14组织控制名称按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：来源引用、组织控制名称、适用性、选择/排除理由。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：SoA与实际控制、风险登记册和证据不一致。完成标准：所有适用控制有所有者、状态和证据；排除有充分理由。

CHAPTER03｜人员、访问、加密与物理安全控制“谁能访问什么、以何种身份、在什么环境中”本章交付人员安全、JML、授权、特权、复核、认证、密钥、物理区域、访客和设施。这一章解决什么决策/风险控制“谁能访问什么、以何种身份、在什么环境中”。本章所有工具均要求把责任、时点、输入、输出和关闭证据写清楚，并与风险登记册、SoA和证据索引保持一致。常见失败模式离职只停邮箱，漏掉令牌和供应商账号共享管理员账号无法归责上云后错误认定物理安全不适用本章完成定义关键工具已填写并批准；阻断项有关闭证据；控制运行记录覆盖组织批准的期间；任何条件批准有责任、期限和复核。

HUM-01人员筛选与岗位风险确认按岗位风险与法律边界设计入职筛选和证据。责任人HR+法务/安全关键输入岗位风险、法律要求、合同输出/关闭证据筛选记录与例外使用时点录用前；岗位变化使用说明在“录用前；岗位变化”使用；输入来自“岗位风险、法律要求、合同”；由“HR+法务/安全”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期岗位/角色访问/风险筛选项目适用性依据结果异常处理批准证据ID复核日期填写示例（虚构）特权运维岗位增加身份与任职经历核验；范围由法务确认。字段与关闭提示关键字段包括：岗位/角色、访问/风险、筛选项目、适用性依据。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：所有岗位一刀切，或未经合法性确认收集过度信息。完成标准：筛选与岗位风险匹配；异常有授权决定。

HUM-02保密、使用与安全责任条款清单把员工/承包方安全责任写入合同与制度签收。责任人HR+法务关键输入岗位、可接受使用、保密要求输出/关闭证据签署条款与签收记录使用时点入职/签约；变更使用说明在“入职/签约；变更”使用；输入来自“岗位、可接受使用、保密要求”；由“HR+法务”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期角色保密范围可接受使用知识产权远程工作事件报告离职义务违纪后果签收/版本填写示例（虚构）承包方可访问客户日志，合同明确最小权限、事件报告和终止后删除。字段与关闭提示关键字段包括：角色、保密范围、可接受使用、知识产权。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只签通用保密协议，无实际系统和事件责任。完成标准：责任、范围、版本和签收可追溯。

HUM-03安全意识与角色培训矩阵按角色配置培训、情景考核、授权和补训。责任人HR/L&D+安全关键输入RACI、风险、控制、事件输出/关闭证据培训与授权台账使用时点入职前；年度/变化使用说明在“入职前；年度/变化”使用；输入来自“RACI、风险、控制、事件”；由“HR/L&D+安全”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期角色必须能力课程/演练情景题合格线_参数授权范围补训有效期证据填写示例（虚构）客服需识别客户数据误发并能在规定渠道报告；未通过不得导出。字段与关闭提示关键字段包括：角色、必须能力、课程/演练、情景题。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：全员一套视频，无能力验证。完成标准：高风险角色通过情景考核；授权与培训状态联动。

HUM-04入转离（JML）访问控制工单确保入职、调岗、离职权限及时授权、变更、回收和验证。责任人HR+IAM管理员+直属经理关键输入人事事件、岗位模板、系统清单输出/关闭证据完成的JML工单与回收证据使用时点每次入转离使用说明在“每次入转离”使用；输入来自“人事事件、岗位模板、系统清单”；由“HR+IAM管理员+直属经理”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期人员/身份事件类型/时间岗位/经理所需/撤销权限系统清单批准人执行时间验证人异常/证据填写示例（虚构）离职生效后自动撤销SSO、VPN、代码仓库和云平台，并核对共享密钥。字段与关闭提示关键字段包括：人员/身份、事件类型/时间、岗位/经理、所需/撤销权限。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只停邮箱，漏掉API令牌、共享账号和供应商门户。完成标准：所有系统按批准目标关闭；异常自动告警并升级。

HUM-05离职保密与资产归还确认关闭账号、设备、资料、密钥和持续保密义务。责任人HR+IT+直属经理关键输入离职单、资产/账号清单输出/关闭证据离职关闭证明使用时点离职时使用说明在“离职时”使用；输入来自“离职单、资产/账号清单”；由“HR+IT+直属经理”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期人员离职时间账号关闭设备归还资料/介质共享密钥保密提醒异常签字/证据填写示例（虚构）离职人员持有的客户测试数据从个人设备移除并由IT验证。字段与关闭提示关键字段包括：人员、离职时间、账号关闭、设备归还。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：资产归还完成即认为权限全部关闭。完成标准：账号、资产、数据、密钥和异常均关闭。

IAM-01访问申请与授权单确保访问基于业务必要、最小权限、批准和期限。责任人系统所有者+IAM关键输入岗位、数据分类、职责分离输出/关闭证据授权记录使用时点新授权/变更使用说明在“新授权/变更”使用；输入来自“岗位、数据分类、职责分离”；由“系统所有者+IAM”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期申请人/身份系统/资源权限级别业务理由数据范围期限职责冲突批准人实施/验证填写示例（虚构）客户支持仅访问其负责租户的只读日志，30天后自动复核。字段与关闭提示关键字段包括：申请人/身份、系统/资源、权限级别、业务理由。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：使用“同岗位照搬”而不核必要性。完成标准：权限、范围、期限、批准和实施证据完整。

IAM-02特权访问与紧急账号登记控制管理员、根账号、break-glass和共享凭据。责任人CISO/CIO+系统所有者关键输入特权账号清单、应急场景输出/关闭证据特权台账与使用复核使用时点创建/使用；月度使用说明在“创建/使用；月度”使用；输入来自“特权账号清单、应急场景”；由“CISO/CIO+系统所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期账号/身份系统权限绑定个人MFA/保管使用条件会话日志到期/轮换复核人填写示例（虚构）根账号仅break-glass，双人取用，使用后立即轮换并复盘。字段与关闭提示关键字段包括：账号/身份、系统、权限、绑定个人。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：共享管理员账号无法归责，长期不过期。完成标准：特权最小化、个人可归责、使用可审计、定期复核。

IAM-03周期性访问复核表由资产/系统所有者复核用户、权限、职责冲突和异常。责任人系统所有者+IAM关键输入当前权限导出、HR名单、岗位输出/关闭证据复核与回收证明使用时点按风险批准频率使用说明在“按风险批准频率”使用；输入来自“当前权限导出、HR名单、岗位”；由“系统所有者+IAM”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期系统/范围导出时间/条件用户/角色当前权限业务必要异常/冲突决定执行证据复核/批准已填写示例（虚构）字段填写内容/选择证据或来源责任/日期系统/范围抽样发现5个离职账号和2个过度权限；回收后再次导出验证。示例证据：IAM03-E001示例负责人/2026-07-14导出时间/条件按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：系统/范围、导出时间/条件、用户/角色、当前权限。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：复核者只回复“无变化”，不看明细和异常。完成标准：完整范围可证明；异常关闭；复核人与执行人可区分。

IAM-04身份认证与密码/MFA基线定义不同系统的认证强度、会话和恢复控制。责任人安全架构师+系统所有者关键输入风险、系统能力、合同要求输出/关闭证据批准认证基线使用时点设计/采购/年度使用说明在“设计/采购/年度”使用；输入来自“风险、系统能力、合同要求”；由“安全架构师+系统所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期系统等级认证方式MFA密码/密钥规则_参数会话/锁定恢复流程服务账号例外测试证据填写示例（虚构）生产云控制台强制抗钓鱼MFA；参数按组织和平台能力确认。字段与关闭提示关键字段包括：系统等级、认证方式、MFA、密码/密钥规则_参数。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：把统一密码长度当所有系统唯一控制。完成标准：认证与风险匹配；例外和恢复流程可验证。

IAM-05访问例外与临时权限审批为临时高权、共享账号或技术限制建立有期限的补偿控制。责任人系统所有者+风险负责人关键输入例外申请、替代方案输出/关闭证据条件批准或拒绝使用时点触发例外时使用说明在“触发例外时”使用；输入来自“例外申请、替代方案”；由“系统所有者+风险负责人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期例外项业务必要性影响范围替代方案补偿控制期限监控退出条件批准人填写示例（虚构）供应商临时远程排障2小时，录屏、工单绑定、命令审计，结束即撤销。字段与关闭提示关键字段包括：例外项、业务必要性、影响范围、替代方案。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：例外无到期日，自然变成长期权限。完成标准：范围、期限、监控和自动回收完整。

CRY-01加密适用与算法/场景矩阵按数据与场景决定传输、存储、备份、介质和密钥控制。责任人密码负责人+架构师关键输入分类、法律/合同、系统能力输出/关闭证据加密控制矩阵使用时点设计/采购；年度使用说明在“设计/采购；年度”使用；输入来自“分类、法律/合同、系统能力”；由“密码负责人+架构师”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期数据/场景传输/存储适用要求来源算法/协议_待确认密钥所有者轮换/撤销例外验证证据复核填写示例（虚构）客户备份使用云KMS管理密钥；具体算法和合规要求由密码负责人确认。字段与关闭提示关键字段包括：数据/场景、传输/存储、适用要求来源、算法/协议_待确认。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：写“采用行业标准加密”但无配置和验证。完成标准：场景、配置、密钥和验证证据一致。

CRY-02密钥与证书生命周期台账管理生成、分发、存储、使用、轮换、撤销、备份和销毁。责任人密码负责人/平台运维关键输入系统、证书、KMS、密钥清单输出/关闭证据密钥台账与轮换证据使用时点持续；到期前使用说明在“持续；到期前”使用；输入来自“系统、证书、KMS、密钥清单”；由“密码负责人/平台运维”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期密钥/证书ID用途/系统所有者生成/来源存储/HSM/KMS有效期轮换/撤销访问权限备份/销毁已填写示例（虚构）字段填写内容/选择证据或来源责任/日期密钥/证书IDTLS证书到期前45天告警；离职管理员触发KMS管理权限与相关密钥复核。示例证据：CRY02-E001示例负责人/2026-07-14用途/系统按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：密钥/证书ID、用途/系统、所有者、生成/来源。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只记录证书到期日，漏掉所有者和撤销。完成标准：无未知密钥；到期、访问、轮换和销毁可追溯。

PHY-01物理安全区域与进入控制矩阵定义办公、机房、档案、仓储等区域的访问与监控。责任人行政/设施+安全关键输入场所图、资产、人员角色输出/关闭证据区域与访问矩阵使用时点场所启用/变化使用说明在“场所启用/变化”使用；输入来自“场所图、资产、人员角色”；由“行政/设施+安全”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期区域资产/信息风险等级允许角色进入方式访客规则监控/告警应急进入复核填写示例（虚构）云序科技无自建机房，但办公网络间、档案柜和设备仓库仍需边界。字段与关闭提示关键字段包括：区域、资产/信息、风险等级、允许角色。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：认为“上云”后物理安全不适用。完成标准：所有范围场所和第三方接口有控制与证据。

PHY-02访客与第三方现场访问记录控制身份、陪同、范围、设备和离场。责任人行政/接待+被访人关键输入访问申请、区域规则输出/关闭证据访客记录使用时点每次访问使用说明在“每次访问”使用；输入来自“访问申请、区域规则”；由“行政/接待+被访人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期访客/单位目的时间访问区域陪同人设备/介质保密要求离场确认异常填写示例（虚构）维修商进入网络间，限定区域、全程陪同、工具清单和离场检查。字段与关闭提示关键字段包括：访客/单位、目的、时间、访问区域。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：访客登记只有姓名和电话。完成标准：身份、范围、陪同、设备和离场均可追溯。

PHY-03环境与设施巡检表验证电力、温湿度、消防、门禁、监控和设备保护。责任人设施负责人/IT关键输入设备要求、维保合同输出/关闭证据巡检与异常工单使用时点按批准频率使用说明在“按批准频率”使用；输入来自“设备要求、维保合同”；由“设施负责人/IT”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期区域/设备检查项标准_待确认结果异常临时措施工单/责任复检证据填写示例（虚构）网络间UPS告警后建立工单并验证旁路供电，不以“设备亮灯”判定正常。字段与关闭提示关键字段包括：区域/设备、检查项、标准_待确认、结果。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：机械勾选“正常”，无测量和异常闭环。完成标准：异常可追溯到工单、责任和复检。

CHAPTER04｜安全运维让配置、变化、漏洞、备份、恢复、日志和容量持续受控本章交付配置、变更、漏洞、补丁、终端、备份、恢复、日志、容量、介质。这一章解决什么决策/风险让配置、变化、漏洞、备份、恢复、日志和容量持续受控。本章所有工具均要求把责任、时点、输入、输出和关闭证据写清楚，并与风险登记册、SoA和证据索引保持一致。常见失败模式只证明任务成功，不证明结果有效紧急变更长期不补审备份成功但恢复链从未验证本章完成定义关键工具已填写并批准；阻断项有关闭证据；控制运行记录覆盖组织批准的期间；任何条件批准有责任、期限和复核。

OPS-01安全配置基线与偏差登记定义系统、云、终端、数据库和网络的安全配置及例外。责任人安全架构师+运维关键输入架构、厂商指南、风险输出/关闭证据基线、自动检查与偏差使用时点上线前；变更/季度使用说明在“上线前；变更/季度”使用；输入来自“架构、厂商指南、风险”；由“安全架构师+运维”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期资产类型基线版本关键配置验证方法负责人扫描频率偏差风险/期限证据填写示例（虚构）云存储默认禁止公共访问；偏差需工单、风险接受和到期复核。字段与关闭提示关键字段包括：资产类型、基线版本、关键配置、验证方法。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：复制通用基线，不验证平台版本和业务影响。完成标准：基线版本化；偏差有证据、期限和批准。

OPS-02变更申请、风险与回滚单确保变更有影响分析、测试、批准、实施和回滚。责任人变更经理+系统所有者关键输入变更需求、风险、测试输出/关闭证据变更记录与验证使用时点每次重大/生产变更使用说明在“每次重大/生产变更”使用；输入来自“变更需求、风险、测试”；由“变更经理+系统所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期变更ID对象/版本原因影响/风险测试证据实施窗口回滚方案批准实施/验证填写示例（虚构）IAM自动回收规则先在测试环境验证，失败时回退旧规则并人工对账。字段与关闭提示关键字段包括：变更ID、对象/版本、原因、影响/风险。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：紧急变更无事后复核，或回滚只写“恢复原状”。完成标准：变更、测试、批准、回滚和结果完整。

OPS-03漏洞识别与处置台账统一扫描、情报、评估、修复、例外和复测。责任人漏洞经理+资产所有者关键输入扫描、公告、渗透测试、供应商输出/关闭证据漏洞台账与关闭证据使用时点持续/按风险频率使用说明在“持续/按风险频率”使用；输入来自“扫描、公告、渗透测试、供应商”；由“漏洞经理+资产所有者”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期漏洞ID资产/版本来源/CVE可利用性业务影响优先级_参数修复/缓释期限复测/证据填写示例（虚构）公开漏洞影响边缘网关，先隔离暴露面并升级，复测后关闭。字段与关闭提示关键字段包括：漏洞ID、资产/版本、来源/CVE、可利用性。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：仅按CVSS排序，忽略资产暴露和业务影响。完成标准：高风险在组织目标内处理；例外有补偿控制与复测。

OPS-04补丁与更新管理记录计划、测试、部署、失败处理和覆盖率验证。责任人运维/终端管理关键输入漏洞、厂商更新、资产清单输出/关闭证据补丁部署与覆盖证据使用时点周期/紧急使用说明在“周期/紧急”使用；输入来自“漏洞、厂商更新、资产清单”；由“运维/终端管理”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期补丁/版本资产范围风险/优先级兼容测试部署批次失败/回滚覆盖率例外验证人填写示例（虚构）数据库补丁先恢复副本验证，再分批生产部署；失败节点进入例外台账。字段与关闭提示关键字段包括：补丁/版本、资产范围、风险/优先级、兼容测试。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：报告“部署成功”但未核对离线资产和失败节点。完成标准：范围、成功、失败、例外和复测可对账。

OPS-05恶意代码与终端防护检查表验证防护覆盖、策略、告警、隔离和例外。责任人终端/安全运营关键输入资产、EDR/AV、告警输出/关闭证据覆盖与处置报告使用时点持续/月度使用说明在“持续/月度”使用；输入来自“资产、EDR/AV、告警”；由“终端/安全运营”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期资产范围防护代理策略版本更新状态告警隔离/处置例外资产补偿控制证据填写示例（虚构）开发测试机因兼容限制例外，限制网络并增加完整性监控和到期复核。字段与关闭提示关键字段包括：资产范围、防护代理、策略版本、更新状态。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：只看采购许可数，不看在线覆盖和策略。完成标准：范围完整；例外有补偿；告警闭环。

OPS-06备份策略与作业台账定义备份对象、频率、隔离、加密、保留、监控和失败处置。责任人数据/系统所有者+运维关键输入BIA、资产、RTO/RPO、法规合同输出/关闭证据备份计划与作业证据使用时点设计；每日/周期使用说明在“设计；每日/周期”使用；输入来自“BIA、资产、RTO/RPO、法规合同”；由“数据/系统所有者+运维”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期数据/系统备份类型/频率_参数位置/隔离加密/密钥保留_参数作业监控失败升级恢复测试所有者已填写示例（虚构）字段填写内容/选择证据或来源责任/日期数据/系统客户数据库每日增量、每周全量，隔离账号与生产分离；参数由组织批准。示例证据：OPS06-E001示例负责人/2026-07-14备份类型/频率_参数按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：数据/系统、备份类型/频率_参数、位置/隔离、加密/密钥。关闭时至少附证据ID、版本、日期、责任人和批准人；参数或法律结论不明确时标记“待本组织确认”。常见错误：备份作业“成功”即认为可恢复。完成标准：备份范围、失败处理、隔离和恢复测试关联。

OPS-07恢复测试脚本与报告端到端验证介质、密钥、应用启动、数据完整性和业务可用。责任人运维+业务验证人关键输入备份策略、BIA、恢复流程输出/关闭证据恢复报告与CAPA使用时点上线前；按风险演练使用说明在“上线前；按风险演练”使用；输入来自“备份策略、BIA、恢复流程”；由“运维+业务验证人”负责，输出应进入总控台账和证据索引。空白模板字段填写内容/选择证据或来源责任/日期场景/范围目标RTO/RPO_参数前置条件步骤/负责人开始/结束时间数据完整性业务验证偏差/失败复测/批准已填写示例（虚构）字段填写内容/选择证据或来源责任/日期场景/范围首次演练只恢复数据库文件，应用无法启动；补齐密钥与依赖后复测82分钟通过。示例证据：OPS07-E001示例负责人/2026-07-14目标RTO/RPO_参数按本组织范围、系统和批准参数填写；不得直接复制示例。批准记录/系统导出控制所有者/待确认字段与关闭提示关键字段包括：场景/范围、目标RTO/RPO_