GB-T 22081-2024 中文版 信息技术 安全技术 信息安全控制实践指南（等同 27002-2022）

GB/T22081-2024中文版信息技术安全技术信息安全控制实践指南（等同27002:2022）一、引言在数字化转型深度推进、网络空间风险日益复杂的当下，信息安全已成为组织稳定运营、合规发展的核心保障。信息安全管理体系（ISMS）的有效落地，离不开具体、可操作的控制措施作为支撑，GB/T22081-2024《信息技术安全技术信息安全控制实践指南》（以下简称“本标准”）应运而生。本标准由国家市场监督管理总局与中国国家标准化管理委员会联合发布，于2025年7月1日正式实施，技术内容等同采用ISO/IEC27002:2022《信息技术安全技术信息安全控制实践》，完全遵循国际标准的核心框架与控制要求，同时结合我国信息安全领域的法律法规、行业实践和监管需求，对各类信息安全控制措施进行了系统化梳理、本土化适配和实操性优化，为国内各类组织落地信息安全控制、防范信息安全风险提供了可直接参考的实践指引。本标准的核心价值在于“落地性”和“实用性”，与GB/T29246-2023《信息安全技术信息安全管理体系概述和词汇》（侧重术语规范与体系概述）、GB/T22080-2021/ISO/IEC27001:2022（侧重ISMS建立与实施要求）形成互补，构成“概述术语-体系要求-控制实践”的完整信息安全管理体系标准链条。如果说GB/T29246-2023是ISMS的“入门手册”，GB/T22080-2021是ISMS的“合规框架”，那么本标准就是ISMS的“操作手册”，聚焦“怎么做”，明确各类信息安全控制措施的实施流程、关键要点、适用场景和注意事项，解决组织在信息安全控制落地中“无据可依、操作混乱”的痛点。本标准的实施，不仅实现了我国信息安全控制实践与国际标准的全面接轨，确保国内组织的信息安全控制水平与国际同步，还能推动各类组织将信息安全管理要求转化为具体行动，通过标准化的控制措施防范数据泄露、网络攻击、人为失误等各类信息安全风险，同时满足《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规的合规要求，助力组织提升信息安全管理的规范化、专业化水平，为数字经济健康发展提供安全支撑。二、标准核心内涵与等同关系说明（一）标准核心定位与适用范围本标准的核心定位是为各类组织提供信息安全控制措施的具体实践指引，明确信息安全控制的目标、实施步骤、关键控制点和落地要求，帮助组织将信息安全管理的原则和要求转化为可执行、可验证、可优化的具体行动，支撑信息安全管理体系（ISMS）的有效运行和持续改进。与其他相关标准不同，本标准不侧重理论概述或术语定义，也不规定ISMS的整体框架，而是聚焦“控制实践”，每一项控制措施都明确了“控制目标-实施要点-应用场景-注意事项”，具备极强的可操作性。本标准的适用范围极为广泛，覆盖各类组织，包括企业、事业单位、政府部门、社会组织、科研机构等，无论组织规模大小、行业类型如何，无论其信息安全水平高低，均可依托本标准选择、实施和优化信息安全控制措施。其适用场景主要包括：信息安全管理体系（ISMS）的落地实施，为GB/T22080-2021的要求提供具体落地支撑；组织内部信息安全控制措施的规划、部署和优化，解决实际信息安全管理中的实操难题；信息安全相关人员的培训，提升从业人员的控制实践能力；第三方咨询、审核机构开展信息安全咨询、ISMS审核工作，为其提供控制实践的判断依据；组织与供应商、合作伙伴开展信息安全合作时，明确双方的控制实践要求，保障合作过程中的信息安全。需要明确的是，本标准提供的是信息安全控制实践的“指引”而非“强制要求”，组织在应用本标准时，无需机械照搬所有控制措施，应结合自身的业务特点、信息安全风险水平、合规要求和资源状况，对控制措施进行合理选择、调整和优化，确保控制措施的适宜性和有效性。同时，本标准不能替代GB/T22080-2021（ISMS要求）、GB/T29246-2023（术语概述）等相关标准，组织在开展信息安全管理工作时，需将本标准与相关标准结合使用，形成“目标-要求-实践-优化”的闭环管理。（二）与ISO/IEC27002:2022的等同关系GB/T22081-2024与ISO/IEC27002:2022属于“等同采用”关系，即本标准的技术内容、控制框架、核心要求完全对应ISO/IEC27002:2022，仅在语言表述、术语翻译和部分细节上进行了本土化适配，未对国际标准的核心技术内容进行任何修改、删减或新增，确保了标准的国际一致性和权威性，同时贴合我国组织的实际应用需求。等同采用的具体体现主要有三个方面：一是控制框架完全一致，两者均采用“控制域-控制项-控制目标-实施指南”的结构，共包含14个控制域、114项控制措施，控制域的划分、控制项的设置和控制目标的界定完全对应，确保了控制实践的系统性和完整性；二是核心要求完全统一，本标准中每一项控制措施的实施要点、适用场景，均与ISO/IEC27002:2022保持一致，仅在表述上结合我国语言习惯和信息安全实践进行了优化，确保控制措施的准确性和易懂性，例如将“accesscontrol”翻译为“访问控制”，并结合我国组织的权限管理实践，补充了权限分配的具体实操建议；三是本土化适配贴合国内合规需求，本标准结合我国信息安全领域的法律法规和行业实践，在控制措施的实施指引中，补充了与国内合规相关的要求，例如在个人信息保护相关控制措施中，结合《中华人民共和国个人信息保护法》的要求，明确了个人信息收集、存储、传输、销毁等环节的控制要点，在网络安全相关控制措施中，贴合《中华人民共和国网络安全法》的要求，补充了网络边界防护、漏洞管理的具体实践建议，使标准更贴合国内组织的实际应用场景。这种等同关系的核心意义在于，国内组织按照本标准实施信息安全控制措施，其实践水平能够与国际社会保持同步，为组织参与国际合作、拓展国际市场、开展信息安全领域的国际交流提供了便利；同时，也确保了我国信息安全管理体系系列标准与国际标准的衔接一致性，推动我国信息安全控制实践的专业化、规范化发展，提升国内组织的信息安全防护能力。（三）标准核心特点1.实操性极强：本标准的核心优势的是“落地性”，每一项控制措施都明确了控制目标、实施步骤、关键控制点和注意事项，避免了抽象的理论描述，组织可直接参考实施，解决了信息安全控制“落地难、操作乱”的问题，尤其适合缺乏专业信息安全团队的中小企业。2.体系性完整：本标准涵盖了信息安全管理的全领域，从组织治理、人力资源安全，到资产管理、访问控制、物理安全、运行安全等，形成了完整的控制框架，能够满足组织全方位的信息安全控制需求，支撑ISMS的全面落地。3.通用性广泛：本标准适用于各类组织、各类行业，无论组织规模大小、业务类型如何，均可根据自身需求选择适配的控制措施，无需结合行业特点进行大幅调整，同时兼顾了不同规模组织的资源状况，提供了灵活的实施指引。4.国际同步性高：由于等同采用ISO/IEC27002:2022，本标准的控制框架、核心要求与国际标准完全一致，确保了我国信息安全控制实践与国际接轨，便于组织开展国际合作和信息安全交流，提升组织的国际认可度。5.合规性突出：本标准结合我国信息安全相关法律法规和行业标准，对控制措施进行了本土化适配，明确了各项控制措施与合规要求的衔接点，帮助组织在实施控制措施的同时，满足法律法规和行业标准的要求，降低合规风险。三、信息安全控制实践的核心框架与实施原则（一）核心框架本标准围绕信息安全管理的全流程，构建了“14个控制域+114项控制措施”的核心框架，所有控制措施均围绕“保障信息资产的保密性、完整性和可用性”这一核心目标展开，覆盖信息安全管理的各个环节，形成了全方位、多层次的控制体系。14个控制域按逻辑可分为四大类，分别是组织层面控制、人员层面控制、物理层面控制和技术层面控制，各控制域相互关联、相互支撑，确保信息安全控制的系统性和完整性。四大类控制域的核心逻辑的是：以组织层面控制为引领，明确信息安全控制的治理基础和总体要求；以人员层面控制为保障，规范人员的信息安全行为，防范人为因素导致的风险；以物理层面控制为基础，保护信息资产的物理载体安全；以技术层面控制为核心，通过技术手段防范各类网络和数据安全风险，形成“治理-人员-物理-技术”四位一体的控制框架。每个控制域下包含若干项控制措施，每一项控制措施均明确了“控制目标”“实施要点”“应用场景”和“注意事项”四个核心内容：控制目标明确了该控制措施要达到的安全效果；实施要点明确了具体的实施步骤和关键动作；应用场景明确了该控制措施适用的业务场景和环境；注意事项明确了实施过程中需要规避的问题和特殊要求，确保控制措施的有效实施。（二）实施原则组织在应用本标准实施信息安全控制措施时，应遵循以下核心原则，确保控制措施的适宜性、有效性和可持续性，实现信息安全风险的有效管控：1.风险导向原则：信息安全控制措施的选择和实施应以风险评估结果为依据，重点针对高风险领域部署控制措施，合理分配资源，优先管控可能导致严重损失的风险，确保控制措施的针对性和有效性，避免资源浪费。2.贴合业务原则：控制措施的实施应与组织的业务流程、业务特点相契合，避免脱离业务实际的“形式化控制”，在保障信息安全的同时，不影响业务的正常开展，实现“安全与效率”的平衡。3.全员参与原则：信息安全控制的落地离不开组织全员的参与，从高层管理者到基层员工，均应明确自身在信息安全控制中的职责，严格执行控制措施，形成“人人有责、人人执行”的信息安全氛围，防范人为因素导致的风险。4.持续优化原则：信息安全风险是动态变化的，组织应定期对控制措施的实施效果进行监控和评审，结合业务发展、技术迭代、风险变化和合规要求的更新，及时调整和优化控制措施，确保控制措施始终能够适应信息安全管理的需求，实现持续改进。5.合规适配原则：控制措施的实施应符合相关法律法规、行业标准和组织自身的信息安全方针要求，确保控制措施的合规性，避免因控制措施不到位导致的合规风险，同时结合组织的合规需求，优化控制措施的实施要点。四、各类信息安全控制措施详解本章节是本标准的核心内容，将按照14个控制域的划分，对每一项控制措施的控制目标、实施要点、应用场景和注意事项进行详细解析，结合国内组织的实践经验，提供可直接参考的实操指引，确保控制措施能够落地执行。所有控制措施均贴合ISO/IEC27002:2022的核心要求，同时进行本土化适配，避免抽象表述，突出实操性。（一）信息安全治理（ControlDomain1）本控制域的核心目标是建立信息安全治理框架，明确组织信息安全的总体方向、职责分工和资源保障，为信息安全控制措施的实施提供治理基础，确保信息安全管理与组织的战略目标相契合。本控制域包含5项控制措施，重点聚焦治理框架、策略与目标、职责分配、资源保障和合规审查。1.信息安全治理框架：控制目标是建立清晰、可执行的信息安全治理框架，明确信息安全的决策机制、管理流程和责任体系。实施要点包括：结合组织战略目标，制定信息安全治理章程，明确治理的范围、目标和原则；建立信息安全决策机构（如信息安全委员会），负责审议信息安全重大事项、审批信息安全策略和计划；明确治理框架的运行流程，确保信息安全决策能够有效落地，定期对治理框架的适宜性和有效性进行评审。应用场景适用于各类组织，尤其是大型组织和多部门协同的组织，需通过治理框架规范信息安全管理的决策和执行。注意事项：治理框架应与组织的规模和业务特点相适配，避免过于复杂；需明确决策机构和执行机构的职责划分，避免职责交叉或空白。2.信息安全策略与目标：控制目标是制定清晰、可落地的信息安全策略和目标，明确信息安全管理的总体要求和具体方向。实施要点包括：结合组织的风险状况和合规要求，制定统一的信息安全策略，明确信息安全的总体原则、核心要求和禁止性行为；基于信息安全策略，制定具体、可测量、可实现、相关且有时间限制的信息安全目标，分解到各部门和岗位；将信息安全策略和目标向全员传达，确保全员理解和遵循，定期对策略和目标的适宜性进行评审和更新。应用场景适用于所有组织，是信息安全控制的基础。注意事项：策略内容应通俗易懂，避免过于专业的抽象表述；目标应贴合组织实际，避免过高或过低，确保可实现；策略和目标需根据业务发展和风险变化及时更新。3.信息安全职责分配：控制目标是明确组织内部各部门、各岗位的信息安全职责，形成“分级负责、全员参与”的责任体系。实施要点包括：明确高层管理者的信息安全责任，确保高层对信息安全工作的重视和支持；明确信息安全管理部门的职责，负责信息安全策略的实施、控制措施的部署和日常管理；明确各业务部门的信息安全职责，将信息安全要求融入业务流程；明确基层员工的信息安全义务，规范员工的信息安全行为；建立职责考核机制，将信息安全职责的履行情况纳入员工考核。应用场景适用于所有组织，尤其适合部门较多、岗位分工复杂的组织。注意事项：职责分配应清晰明确，避免职责交叉或空白；需确保每个岗位的信息安全职责与岗位工作内容相适配；定期对职责履行情况进行检查，及时发现和解决职责落实不到位的问题。4.信息安全资源保障：控制目标是为信息安全控制措施的实施提供充足的人力、财力、技术和基础设施资源，确保信息安全工作的有效开展。实施要点包括：配备具备专业能力的信息安全管理人员和技术人员，明确人员的岗位职责和能力要求，定期开展培训提升人员能力；合理安排信息安全工作经费，用于技术工具采购、培训教育、风险评估、应急处置等工作；部署必要的信息安全技术工具和基础设施，如防火墙、入侵检测系统、数据加密工具等，保障控制措施的实施；建立资源保障的动态调整机制，根据业务发展和信息安全需求，及时补充和优化资源。应用场景适用于所有组织，资源保障的规模应与组织的风险水平和业务需求相适配。注意事项：资源配置应优先保障高风险领域；需加强对信息安全人员的培养和留存，提升人员的专业能力；定期对资源的使用效果进行评估，优化资源配置。5.信息安全合规审查：控制目标是确保组织的信息安全管理活动符合相关法律法规、行业标准和合同约定的要求，降低合规风险。实施要点包括：定期开展信息安全合规审查，识别合规风险，评估控制措施的合规性；建立合规审查台账，记录审查发现的问题和整改措施，跟踪整改落实情况；结合法律法规和行业标准的更新，及时调整信息安全策略和控制措施，确保持续合规；加强对员工的合规培训，提升员工的合规意识。应用场景适用于所有组织，尤其是受监管严格的行业（如金融、医疗、教育等）。注意事项：合规审查应定期开展，至少每年一次，重大合规变化时应及时开展专项审查；审查范围应全面，覆盖信息安全管理的各个环节；整改措施应具体可操作，明确整改责任人、整改时限和验收标准。（二）人力资源安全（ControlDomain2）本控制域的核心目标是规范组织内部人员的信息安全行为，防范因人员招聘、在职管理、离职管理等环节出现的信息安全风险，提升全员信息安全意识和专业能力，确保人员因素不会对信息安全造成威胁。本控制域包含6项控制措施，覆盖人员招聘、入职培训、在职管理、离职管理、第三方人员管理和信息安全意识培训。1.人员招聘安全：控制目标是确保招聘的人员具备相应的信息安全素养，防范因人员背景问题导致的信息安全风险。实施要点包括：在招聘环节明确信息安全要求，将信息安全素养纳入招聘考核指标；对拟录用人员进行背景调查，重点核查人员的诚信记录、信息安全相关从业经历和资质，对涉及核心信息资产的岗位，需进行更严格的背景审查；在录用合同中明确人员的信息安全义务和违约责任，告知人员泄露信息资产的后果。应用场景适用于所有组织，尤其是涉及核心商业秘密、敏感数据的岗位招聘。注意事项：背景调查应符合相关法律法规要求，尊重个人隐私；招聘考核中应注重人员的信息安全意识和实际能力，避免形式化。2.入职信息安全培训：控制目标是帮助新员工快速了解组织的信息安全策略、控制措施和自身的信息安全职责，提升新员工的信息安全意识。实施要点包括：制定新员工入职信息安全培训计划，明确培训内容、培训时长和考核标准；培训内容应包括组织信息安全策略、核心控制措施、常见信息安全风险、员工信息安全义务和应急处置流程等；培训后进行考核，确保新员工掌握相关知识和技能，考核合格后方可上岗；建立培训档案，记录新员工的培训情况和考核结果。应用场景适用于所有组织的新员工入职管理。注意事项：培训内容应通俗易懂，结合组织的实际情况，避免过于理论化；考核应注重实操能力，确保培训效果；培训档案应妥善保管，便于后续追溯和检查。3.在职人员信息安全管理：控制目标是规范在职人员的信息安全行为，防范在职人员因操作不当、意识薄弱或恶意行为导致的信息安全风险。实施要点包括：定期对在职人员开展信息安全培训和考核，持续提升人员的信息安全意识和专业能力；建立在职人员信息安全行为规范，明确禁止性行为（如泄露敏感信息、违规使用信息系统、私自接入外部设备等）；加强对在职人员的日常监督，及时发现和纠正违规行为；对涉及核心信息资产的岗位，实行轮岗制度，降低人员离职带来的风险；建立信息安全奖惩机制，对严格执行控制措施的人员给予奖励，对违规人员给予处罚。应用场景适用于所有组织的在职人员管理。注意事项：行为规范应具体明确，便于员工理解和执行；日常监督应注重隐私保护，避免过度监控；奖惩机制应公平公正，起到激励和警示作用。4.离职人员信息安全管理：控制目标是防范离职人员带走组织核心信息资产、泄露敏感信息或破坏信息系统，确保离职环节的信息安全。实施要点包括：制定离职人员信息安全管理流程，明确离职审批、资产交接、权限回收、保密承诺等环节的要求；离职前，要求离职人员办理信息资产交接手续，交回所有承载组织信息的设备（如电脑、U盘、手机等）和文档资料；及时回收离职人员的信息系统访问权限、账户密码等，确保离职人员无法再访问组织的信息资产和系统；要求离职人员签署保密协议，明确离职后的保密义务和违约责任，对涉及核心商业秘密的人员，可约定竞业限制条款。应用场景适用于所有组织的离职人员管理，尤其是核心岗位人员的离职管理。注意事项：权限回收应及时，避免出现离职人员仍能访问系统的情况；资产交接应全面，确保所有承载信息的载体均已收回；保密协议的条款应符合相关法律法规要求，具有法律效力。5.第三方人员信息安全管理：控制目标是规范第三方人员（如供应商、合作伙伴、外包人员等）的信息安全行为，防范第三方人员导致的信息安全风险。实施要点包括：在与第三方合作前，对第三方的信息安全水平进行评估，选择信息安全管控能力符合要求的合作伙伴；在合作合同中明确第三方的信息安全义务、控制要求和违约责任，明确第三方可访问的信息资产范围和权限；对进入组织办公区域或访问组织信息系统的第三方人员进行登记和管理，发放临时访问证件，明确访问范围和时间；对第三方人员进行必要的信息安全培训，告知组织的信息安全要求和禁止性行为；定期对第三方的信息安全控制措施执行情况进行检查，确保第三方履行信息安全义务。应用场景适用于所有与第三方有合作的组织，尤其是涉及第三方访问组织核心信息资产的场景。注意事项：第三方评估应全面，重点关注第三方的信息安全管控能力和合规水平；合同中的信息安全条款应具体明确，便于后续监督和追责；对第三方人员的访问应严格控制，避免未授权访问。6.信息安全意识培训：控制目标是提升组织全员的信息安全意识，让员工认识到信息安全的重要性，掌握常见信息安全风险的防范方法，自觉遵守信息安全控制措施。实施要点包括：制定全员信息安全意识培训计划，定期开展培训（至少每季度一次），培训内容应结合组织的实际风险，包括常见网络攻击、钓鱼邮件识别、密码安全、数据保护等；采用多样化的培训方式，如线上课程、线下讲座、案例分析、模拟演练等，提升培训效果；培训后进行考核，检验培训效果，对考核不合格的人员进行补训；建立信息安全意识宣传机制，通过海报、邮件、内部通知等方式，持续宣传信息安全知识，营造良好的信息安全氛围。应用场景适用于所有组织，是防范人为因素导致信息安全风险的核心措施。注意事项：培训内容应贴合员工的岗位实际，具有针对性；培训方式应灵活多样，避免枯燥乏味；应结合最新的信息安全案例，提升员工的风险防范意识。（三）资产管理（ControlDomain3）本控制域的核心目标是识别组织的所有信息资产，明确信息资产的价值和分级，建立信息资产的全生命周期管理机制，确保信息资产得到有效保护，防范信息资产丢失、泄露或损坏。本控制域包含7项控制措施，覆盖信息资产识别、资产分类分级、资产责任分配、资产清单管理、资产存储安全、资产使用安全和资产处置安全。1.信息资产识别：控制目标是全面识别组织拥有或控制的所有信息资产，明确信息资产的范围和类型，为后续的资产保护提供基础。实施要点包括：制定信息资产识别流程，明确识别的范围、方法和责任人；信息资产识别应覆盖所有类型，包括硬件资产（如服务器、计算机、网络设备等）、软件资产（如操作系统、应用软件、数据库等）、数据资产（如客户数据、业务数据、财务数据等）、文档资产（如技术手册、管理制度、合同等）和无形资产（如商业秘密、核心技术等）；采用清单式管理，逐一记录信息资产的名称、类型、规格、位置、责任人、价值等信息；定期开展信息资产识别更新，确保信息资产清单的完整性和准确性。应用场景适用于所有组织，是信息安全控制的基础环节。注意事项：资产识别应全面，避免遗漏重要信息资产；资产信息应详细，便于后续的分类分级和管理；识别更新应定期开展，至少每年一次，业务变化时及时更新。2.信息资产分类分级：控制目标是根据信息资产的价值、敏感程度和重要性，对信息资产进行分类分级，实施差异化的保护措施，确保核心信息资产得到重点保护。实施要点包括：制定信息资产分类分级标准，明确分类和分级的依据，例如将信息资产分为公开、内部、敏感、核心四个级别；根据分类分级标准，对识别出的每一项信息资产进行分类和分级，明确每一项资产的级别；针对不同级别的信息资产，制定差异化的保护措施，核心和敏感资产需采取更严格的保护措施（如加密存储、严格的访问控制等）；将资产分类分级结果告知全员，确保员工了解不同级别资产的保护要求。应用场景适用于所有组织，尤其是信息资产数量多、类型复杂的组织。注意事项：分类分级标准应贴合组织的业务特点和风险水平，避免过于复杂；分级结果应客观公正，基于资产的实际价值和敏感程度；差异化保护措施应具体可操作，确保核心资产得到重点保护。3.信息资产责任分配：控制目标是明确每一项信息资产的责任人，确保信息资产的保护工作有明确的负责人，形成“谁负责、谁保护”的责任机制。实施要点包括：为每一项信息资产指定明确的责任人，责任人负责资产的日常管理和保护，包括资产的存储、使用、维护和处置；明确责任人的职责，包括定期检查资产状态、及时发现和报告资产安全问题、执行资产保护措施等；建立资产责任考核机制，将资产保护情况纳入责任人的考核，对未履行责任导致资产受损的，追究责任人责任；对涉及多项资产的岗位，明确主要责任人和次要责任人，避免职责不清。应用场景适用于所有组织，是确保信息资产得到有效保护的关键环节。注意事项：责任分配应清晰明确，每一项资产都应有唯一的责任人；责任人应具备相应的信息安全素养，能够履行资产保护职责；定期对责任人的履职情况进行检查，及时发现和解决问题。4.信息资产清单管理：控制目标是建立信息资产清单的动态管理机制，确保信息资产清单能够及时更新，准确反映信息资产的实际状态，为信息安全控制提供依据。实施要点包括：建立信息资产清单台账，详细记录每一项资产的基本信息、分类分级结果、责任人、存储位置、使用状态等；指定专人负责资产清单的管理，定期对资产清单进行核对和更新，确保清单信息与实际资产一致；建立资产清单的访问控制机制，确保只有授权人员能够访问和修改资产清单；资产清单应妥善保管，定期备份，防止清单丢失或损坏。应用场景适用于所有组织，尤其是信息资产数量多、变动频繁的组织。注意事项：资产清单的更新应及时，资产新增、变更、处置时，应第一时间更新清单；清单的访问控制应严格，避免未授权访问和修改；清单备份应定期进行，确保备份的完整性和可用性。5.信息资产存储安全：控制目标是确保信息资产在存储过程中的安全，防止资产丢失、泄露、篡改或损坏，保障信息资产的完整性和保密性。实施要点包括：针对不同级别的信息资产，采用相应的存储安全措施，核心和敏感资产应采用加密存储（如数据加密、磁盘加密等），公开资产可采用常规存储；选择安全的存储设备和环境，存储设备应具备防丢失、防损坏、防篡改的能力，存储环境应符合安全要求（如防火、防水、防盗、防电磁干扰等）；建立存储设备的日常维护机制，定期检查存储设备的状态，及时发现和解决存储安全问题；对存储的信息资产进行定期备份，确保资产损坏或丢失时能够及时恢复。应用场景适用于所有组织的信息资产存储管理，尤其是敏感数据和核心资产的存储。注意事项：加密存储应选择可靠的加密算法，确保加密效果；存储环境的安全防护应到位，避免外部因素导致资产损坏；备份应定期进行，备份数据应妥善保管，防止备份丢失。6.信息资产使用安全：控制目标是规范信息资产的使用行为，防止因使用不当导致信息资产泄露、篡改或损坏，确保资产的安全使用。实施要点包括：制定信息资产使用规范，明确不同级别资产的使用权限和使用要求，禁止违规使用资产；对信息资产的使用进行权限控制，只有授权人员能够使用相应级别的资产，权限分配应遵循“最小权限原则”；规范资产的使用流程，例如敏感数据的访问、复制、传输等，需经过审批；加强对资产使用过程的监督，及时发现和纠正违规使用行为；员工使用个人设备处理组织信息资产时，需符合组织的安全要求，如安装安全软件、设置密码等。应用场景适用于所有组织的信息资产使用管理，尤其是核心资产和敏感数据的使用。注意事项：使用规范应具体明确，便于员工理解和执行；权限分配应严格，避免过度授权；监督应常态化，及时发现和制止违规行为。7.信息资产处置安全：控制目标是确保信息资产在处置（如报废、转让、捐赠等）过程中的安全，防止资产中的信息泄露，确保资产处置符合相关要求。实施要点包括：制定信息资产处置流程，明确处置的审批权限、处置方式和责任要求；对需要处置的信息资产，先进行信息清除，确保资产中的敏感信息被彻底删除或销毁，无法恢复，核心资产的处置应采用专业的销毁方式（如物理销毁、专业数据清除工具等）；对处置过程进行记录，包括处置资产的名称、类型、处置方式、处置时间、责任人等信息；处置后的资产应妥善处理，避免被非法利用，涉及涉密资产的处置，需符合国家涉密资产处置的相关规定。应用场景适用于所有组织的信息资产处置管理，尤其是包含敏感信息的资产处置。注意事项：信息清除应彻底，避免残留敏感信息；处置流程应规范，需经过审批，避免随意处置；处置记录应完整，便于后续追溯和检查。（四）访问控制（ControlDomain4）本控制域的核心目标是限制对信息资产和信息系统的访问，确保只有授权人员能够访问和使用相应的资产和系统，防范未授权访问导致的信息安全风险，保障信息资产的保密性和完整性。本控制域包含10项控制措施，覆盖访问控制策略、账户管理、权限分配、密码管理、多因素认证、访问审核、特权账户管理、远程访问控制、移动设备访问控制和第三方访问控制。1.访问控制策略：控制目标是建立清晰、可执行的访问控制策略，明确访问控制的总体原则、方法和要求，为访问控制的实施提供依据。实施要点包括：结合组织的风险状况和合规要求，制定访问控制策略，明确访问控制的原则（如最小权限原则、职责分离原则等）、适用范围和实施方法；明确访问权限的申请、审批、分配、变更和回收流程；将访问控制策略向全员传达，确保全员理解和遵循；定期对访问控制策略的适宜性和有效性进行评审和更新。应用场景适用于所有组织，是访问控制的基础环节。注意事项：策略内容应具体明确，避免抽象表述；策略应结合组织的业务特点，确保可操作性；策略更新应及时，适应业务发展和风险变化的需求。2.账户管理：控制目标是规范信息系统账户的创建、使用、变更和注销，确保账户的安全性和可控性，防范账户被非法使用。实施要点包括：制定账户管理流程，明确账户创建、注销、变更的审批权限和操作步骤；所有信息系统账户的创建都需经过审批，明确账户的使用范围和权限；定期对账户进行清理，及时注销闲置、过期或离职人员的账户，避免账户被非法利用；建立账户台账，记录账户的名称、责任人、创建时间、权限范围、状态等信息，定期核对账户信息，确保账户台账的准确性。应用场景适用于所有组织的信息系统账户管理。注意事项：账户创建审批应严格，避免随意创建账户；账户清理应定期开展，至少每季度一次；账户台账应及时更新，确保与实际账户状态一致。3.权限分配：控制目标是根据员工的岗位职责，合理分配信息系统和信息资产的访问权限，遵循“最小权限原则”，确保员工仅能访问完成工作所需的资产和系统，防范过度授权导致的风险。实施要点包括：权限分配应基于员工的岗位职责，结合信息资产的分类分级，明确员工的访问权限范围；遵循“最小权限原则”，仅授予员工完成工作所需的最小权限，不授予不必要的权限；权限分配需经过审批，明确审批流程和责任人；定期对权限进行审核，及时调整和回收不合理的权限，确保权限与岗位职责匹配。应用场景适用于所有组织的权限管理，尤其是涉及敏感信息和核心系统的权限分配。注意事项：权限分配应精准，避免过度授权或授权不足；权限审核应定期开展，至少每半年一次；权限调整应及时，员工岗位变动时，应第一时间调整其权限。4.密码管理：控制目标是规范密码的设置、使用和维护，确保密码的安全性，防范密码被破解、泄露导致的未授权访问。实施要点包括：制定密码管理规范，明确密码的复杂度要求（如密码长度、字符类型、更换周期等），例如密码长度不小于12位，包含大小写字母、数字和特殊字符，每90天更换一次；禁止使用弱密码（如123456、admin等），禁止密码复用；要求员工妥善保管密码，禁止泄露密码、共享密码，禁止将密码记录在易被他人获取的地方；信息系统应具备密码复杂度校验、密码过期提醒、密码错误锁定等功能，防范密码被暴力破解；定期对密码使用情况进行检查，及时发现和纠正违规使用密码的行为。应用场景适用于所有组织的密码管理，包括员工账户密码、系统管理员密码、设备密码等。注意事项：密码管理规范应严格，确保密码的安全性；应加强对员工的密码安全培训，提升员工的密码保护意识；信息系统的密码安全功能应启用，防范密码破解风险。5.多因素认证：控制目标是通过多因素认证机制，提升访问的安全性，防范单一密码被破解导致的未授权访问，尤其适用于高风险场景。实施要点包括：明确多因素认证的适用场景，如核心系统访问、远程访问、敏感数据访问等；选择合适的多因素认证方式，如短信验证码、动态令牌、生物识别（指纹、人脸等）、硬件密钥等；要求高风险场景下必须启用多因素认证，禁止仅使用单一密码进行访问；建立多因素认证的管理机制，确保认证方式的安全性和可靠性，定期检查认证机制的运行情况。应用场景适用于所有组织的高风险访问场景，尤其是金融、医疗、政府等对信息安全要求较高的行业。注意事项：多因素认证方式应选择安全可靠的类型，避免使用易被破解的认证方式；应加强对多因素认证设备的管理，防止设备丢失或被盗；定期对认证机制进行测试，确保其有效性。6.访问审核：控制目标是对信息系统和信息资产的访问行为进行记录和审核，及时发现未授权访问、违规访问等行为，为信息安全事件的追溯和处理提供依据。实施要点包括：信息系统应具备访问日志记录功能，记录访问者、访问时间、访问地址、访问操作、访问结果等信息；明确访问日志的保存期限，至少保存6个月，涉及合规要求的，需按照合规要求延长保存期限；定期对访问日志进行审核，重点检查未授权访问、违规访问、异常访问等行为，及时发现和处理安全问题；建立访问审核台账，记录审核发现的问题、整改措施和整改结果，跟踪整改落实情况。应用场景适用于所有组织的信息系统访问管理，尤其是核心系统和敏感数据的访问管理。注意事项：访问日志应完整、准确，避免日志丢失或篡改；日志审核应定期开展，至少每月一次，高风险系统应增加审核频率；审核人员应具备相应的专业能力，能够识别异常访问行为。7.特权账户管理：控制目标是规范特权账户（如系统管理员、数据库管理员等）的使用和管理，防范特权账户被滥用导致的信息安全风险，因为特权账户拥有较高的访问权限，一旦被滥用，会造成严重的安全后果。实施要点包括：对特权账户进行分类管理，明确特权账户的范围和责任人；严格控制特权账户的数量，仅授予必要的人员特权账户；制定特权账户使用规范，明确特权账户的使用场景和操作要求，禁止违规使用特权账户；对特权账户的使用进行全程记录，定期对特权账户的使用情况进行审核；特权账户的密码应采用更高的安全标准，如更长的密码长度、更短的更换周期，启用多因素认证；定期对特权账户进行清理，及时回收闲置或不必要的特权账户。应用场景适用于所有组织的特权账户管理，是访问控制的重点环节。注意事项：特权账户的管理应严格，避免特权账户被滥用；特权账户的使用记录应完整，便于后续审核和追溯；定期对特权账户的权限进行评估，确保权限的合理性。8.远程访问控制：控制目标是规范远程访问行为，确保远程访问的安全性，防范远程访问导致的未授权访问和信息泄露风险，尤其是在员工居家办公、外出办公等场景下。实施要点包括：制定远程访问管理规范，明确远程访问的申请、审批、使用和关闭流程；仅允许授权人员进行远程访问，远程访问需经过审批，明确访问范围和访问时间；采用安全的远程访问方式，如虚拟专用网络（VPN）、远程桌面协议（RDP）加密等，禁止使用不安全的远程访问方式；远程访问设备应符合组织的安全要求，如安装安全软件、设置密码、禁止接入不安全网络等；对远程访问行为进行记录和审核，及时发现和处理远程访问中的安全问题；远程访问结束后，及时关闭远程访问权限，清理远程访问痕迹。应用场景适用于有远程办公需求的组织，尤其是员工经常外出办公或居家办公的组织。注意事项：远程访问方式应安全可靠，避免使用公共网络进行远程访问；远程访问设备的安全防护应到位，防止设备被入侵；远程访问权限的回收应及时，避免权限滥用。9.移动设备访问控制：控制目标是规范移动设备（如手机、平板电脑等）对组织信息系统和信息资产的访问，防范移动设备导致的信息安全风险，因为移动设备易丢失、易被入侵，容易造成信息泄露。实施要点包括：制定移动设备访问管理规范，明确允许访问的移动设备类型、访问条件和使用要求；仅允许授权的移动设备访问组织信息系统和资产，移动设备需进行登记和认证；对移动设备上的组织信息进行加密存储，禁止在移动设备上存储核心敏感信息；要求移动设备安装安全软件，定期更新系统和安全补丁，防范恶意软件入侵；建立移动设备丢失、被盗的应急处置机制，及时远程锁定设备、清除设备中的组织信息；禁止使用未授权的移动设备接入组织内部网络。应用场景适用于允许员工使用移动设备处理组织信息的组织。注意事项：移动设备的登记和认证应严格，避免未授权设备访问；移动设备的安全防护应到位，定期检查设备的安全状态；应急处置机制应快速有效，减少设备丢失、被盗造成的损失。10.第三方访问控制：控制目标是规范第三方人员对组织信息系统和信息资产的访问，防范第三方访问导致的信息安全风险，与人力资源安全中的第三方人员管理相衔接，重点聚焦访问过程的控制。实施要点包括：明确第三方访问的范围、权限和使用场景，仅授予第三方完成合作所需的最小权限；第三方访问需经过严格审批，明确审批流程和责任人；对第三方访问行为进行全程记录和审核，及时发现和处理违规访问行为；第三方人员访问结束后，及时回收访问权限，清理访问痕迹；要求第三方遵守组织的访问控制规范，签订访问安全协议，明确第三方的信息安全义务和违约责任。应用场景适用于有第三方访问需求的组织，尤其是第三方需要访问组织核心系统或敏感数据的场景。注意事项：第三方访问的