ISO 27001-2022 记录保存期限表 中文版所有记录类型 + 保存期限-1

ISO27001_2022记录保存期限表中文版（所有记录类型+保存期限+存储方式）1.目的为统一公司ISO/IEC27001:2022信息安全管理体系（ISMS）所有记录的保存周期、存储方式、归档规范与销毁标准，解决企业体系记录混乱、期限模糊、存储不规范、审计无依据、合规不达标等痛点。通过标准化全品类记录保存规则，确保所有体系运行记录、安全管控记录、合规审计记录可追溯、可核查、可取证、可复盘，全面满足ISO27001:2022体系审核、《网络安全法》《数据安全法》《个人信息保护法》等国家法律法规及行业监管要求，保障信息安全管理体系常态化、规范化、合规化运行，特制定本表规范。2.适用范围本表适用于公司ISO/IEC27001:2022信息安全管理体系覆盖的全部记录类型，包含体系管理、资产风险、人员安全、访问控制、物理环境、运维操作、数据安全、供应商管控、安全事件、应急管理、业务连续性、合规审计、培训考核等全维度台账与文档记录。适用于公司内部日常体系运行、内审外审、第三方认证审核、监管单位抽查、安全事件溯源、风险复盘等所有场景，为全员记录归档、存储、保管、销毁提供唯一合规依据。3.术语与合规依据3.1核心术语体系记录：指支撑ISO27001:2022各项控制条款落地运行，能够证明安全管控动作、流程执行、风险处置、合规落地的书面或电子台账、报告、表单、日志、凭证。保存期限：指记录自生成之日起，必须完整留存、不得擅自删除、销毁、篡改的最低留存周期，分为法定强制期限与体系合规期限。存储方式：指记录归档保存的标准形式，包含电子归档、纸质归档、电子纸质双归档、加密离线归档、云端备份归档等。3.2合规依据本表依据ISO/IEC27001:2022标准条款、ISO/IEC27002:2022实施指南、《网络安全法》、《数据安全法》、《个人信息保护法》、等级保护2.0、会计档案管理办法等法规标准制定，兼顾体系认证合规与国家法律强制要求。4.通用管理总则（资深落地规则）1.就高不就低原则：当体系要求、行业规范、国家法规保存期限冲突时，以最长保存周期为最终执行标准。2.全程留痕原则：所有记录必须真实、完整、未篡改，存储过程可追溯，修改、借阅、销毁必须留存操作记录。3.双备份原则：核心涉密、高风险、法定强制记录，必须执行电子+纸质双归档、本地+云端双备份，杜绝记录丢失。4.延期留存原则：涉及未结案安全事件、未完结纠纷、审计整改未闭环、诉讼争议的记录，不受固定期限限制，需延期留存至事项完全闭环。5.到期销毁原则：达到保存期限的记录，需经审批后统一规范销毁，禁止随意丢弃、私自删除，留存销毁台账。5.ISO27001:2022全品类记录保存期限&存储方式总表本表覆盖ISO27001:2022全部14大控制域、新增专项控制项，为企业最全、最贴合审核落地的标准化记录管控表，无遗漏、无冗余。序号记录分类具体记录名称对应ISO27001:2022控制项法定/体系保存期限标准存储方式落地备注（资深经验）第一大类：体系综合管理记录（核心认证必备）1体系管理信息安全管理体系手册、程序文件清单4.4、5.2、A5.37永久保存电子+纸质双归档、版本留存需留存所有历史版本，体系迭代全程可追溯，为每次换版、审核核心依据2体系管理文件发放、修订、回收、废止记录A5.376年电子归档+纸质台账留存杜绝过期文件误用，审核重点核查文件生命周期管控痕迹3体系管理年度内部审核计划、内审报告、整改台账9.2、10.26年电子加密归档、纸质签字存档内审为体系核心证据，必须完整留存整改闭环全流程记录4体系管理管理评审计划、评审报告、改进决议记录9.36年电子+纸质双归档体现体系持续改进能力，是外审必查核心资料5体系管理不符合项整改、纠正预防措施记录10.1、10.26年电子归档、闭环资料打包留存所有问题需闭环留存，杜绝无整改、无复盘、无追溯第二大类：资产、风险与合规评估记录6资产风险管理信息资产台账、资产分类分级清单、资产归属记录A8.1、A8.2永久更新留存，历史版本6年电子动态台账、季度备份归档资产变动实时更新，历史台账不得删除，用于风险溯源7资产风险管理信息安全风险评估报告、风险处置计划6.1、6.26年电子加密归档、年度报告单独存档覆盖资产风险、漏洞风险、业务风险，为防护策略制定依据8资产风险管理脆弱性评估、漏洞扫描、风险复盘记录A8.8、A8.93年电子日志归档、月度汇总留存常规漏洞记录留存3年，高危漏洞处置记录升级为6年9合规管理法律法规清单、合规性评估报告A5.31、A5.366年电子归档、年度更新留存适配最新法规迭代，留存历年合规自查证据10合规管理数据安全影响评估（DPIA）记录、个人信息合规记录A8.1、A8.1110年（法定强制）加密电子归档+纸质签字存档受个保法、数安法强制约束，为最高优先级合规留存资料第三大类：人力资源安全记录（人员全周期管控）11人员安全员工入职安全背景筛查、岗位安全评估记录A6.1在职期间+离职后3年加密电子归档、人事专项存档涉密岗位人员资料需延长留存，杜绝人员离岗风险追溯空白12人员安全员工、第三方安全培训计划、签到、课件、考核台账A6.2、A7.23年电子台账+纸质签到表归档全覆盖新员工、在职员工、外包人员培训考核证据13人员安全员工保密协议、第三方保密协议存档记录A6.2永久留存（协议有效期+终身）纸质原件存档+电子扫描备份保密义务终身有效，协议记录永久留存用于追责追溯14人员安全员工离职、权限回收、资产归还、离岗清算记录A6.3离职后6年电子归档+纸质签字存档重点核查账号注销、数据清零、介质回收，规避离岗泄密风险第四大类：访问控制与账号权限记录15访问控制账号权限申请、审批、变更、注销台账A9.1、A9.26年电子动态台账、审批记录打包留存严格落实最小权限，所有权限变动全程留痕可追溯16访问控制特权账号管理、运维账号审计、权限复核记录A9.36年加密电子归档、月度复核留存高风险账号重点管控，复核记录为外审重点核查项17访问控制密码策略执行、账号安全自查记录A9.43年电子台账归档常规自查记录留存3年，异常整改记录留存6年第五大类：物理与环境安全记录18物理安全机房、涉密区域出入登记、访客审批记录A11.1、A11.23年纸质登记+电子汇总归档访客陪同、进出时间、操作范围全程记录，杜绝无关人员入场19物理安全监控录像、门禁日志、机房巡检记录A11.3录像90天，巡检记录3年视频本地存储+日志电子归档视频按法规留存90天，巡检台账长期归档备查20物理安全办公设备、机房设备维护、保养、检修记录A11.4、A8.73年电子+纸质双归档设备故障、维修、更换全程记录，保障设备安全可控第六大类：运维与恶意软件防护记录（对应程序模块）21运维安全终端防病毒巡检、病毒库升级、查杀日志记录A8.73年系统日志自动归档、月度汇总留存全覆盖终端、服务器、虚拟机防护记录，佐证恶意软件防护落地22运维安全漏洞扫描、补丁测试、部署、验收、豁免台账A8.8、A8.96年电子加密归档、漏洞报告单独存档高危漏洞、补丁整改记录必须长期留存，为风险防控核心证据23运维安全入侵检测、告警处置、流量审计、攻击拦截记录A8.166年日志平台留存+月度复盘归档2022版新增重点控制项，入侵告警闭环记录必须完整留存24运维安全介质使用、U盘管控、介质销毁、数据清除记录A8.103年电子台账归档杜绝介质泄密，全程记录介质流转与销毁轨迹第七大类：数据安全与标识分类记录（对应程序模块）25数据安全信息资产分类分级台账、定级变更、标识管理记录A8.2、A8.11永久动态留存，历史版本6年电子动态台账、版本备份归档数据分级为所有数据防护基础，历史定级记录不得删除26数据安全数据脱敏、数据导出、数据共享审批记录A8.11、A8.126年加密电子归档、审批凭证留存2022版新增数据脱敏、防泄露控制项，合规记录强制留存6年27数据安全数据备份、备份核验、备份恢复演练记录A8.136年电子台账+备份日志归档数据备份为业务连续性核心，演练记录必须完整闭环第八大类：供应商安全管理记录（对应程序模块）28供应商安全供应商准入评估、安全评级、资质审核记录A15.1、A15.2合作期间+终止后6年一户一档、电子+纸质双归档供应商全周期档案，退场后仍需留存用于后续保密追责29供应商安全供应商安全检查、整改闭环、月度/季度复盘记录A15.36年电子台账打包归档存续监控、问题整改全程留痕，杜绝供应链安全管控空白30供应商安全供应商退场验收、权限注销、数据清零记录A15.46年纸质签字归档+电子备份退场闭环为重点审核项，必须留存完整验收凭证31供应商安全不良供应商黑名单、信用管控台账A15.1永久留存电子动态台账永久归档黑名单记录永久留存，规避重复引入高风险供应商第九大类：安全事件与应急管理记录32事件应急安全事件上报、研判、处置、复盘报告A16.1、A16.2重大事件10年，普通事件6年加密电子归档+纸质专项存档泄露、勒索、入侵等重大事件升级10年留存，满足监管溯源要求33事件应急应急预案、应急演练计划、演练记录、总结整改A17.1、A17.26年电子+纸质双归档演练整改闭环记录为外审重点，必须完整留存迭代痕迹34业务连续业务连续性计划、灾难恢复、容灾演练记录A17.36年电子加密归档保障业务中断可追溯、可复盘、可快速恢复第十大类：审计与日志留存记录35审计日志系统操作日志、访问日志、运维操作日志A8.16、A9.16个月实时留存，归档后3年系统自动留存+定期打包归档满足网安法日志留存6个月强制要求，归档后延续留存备查36审计日志外部审核、认证审核、监管检查整改记录9.2、10.210年专项文件夹永久归档所有外部审核记录长期留存，体现体系持续合规6.记录存储标准化细则6.1电子记录存储规范1.所有电子记录统一命名、分类归档、文件夹层级标准化，禁止随意存放、重名、混乱存储；2.涉密、核心、高风险记录必须开启文件夹加密、权限管控，仅授权人员可访问；3.月度/季度/年度批量备份，本地+云端双备份，防止文件丢失、损坏；4.系统日志、自动生成记录禁止手动删除、篡改、覆盖，保留原始数据。6.2纸质记录存储规范1.纸质台账、签字文件、协议原件统一归档档案柜，分类编号、登记造册；2.防潮、防火、防盗、防篡改，专人保管、出入登记；3.到期纸质记录统一回收，审批后集中粉碎销毁，留存销毁台账。7.记录到期销毁管理规范1.到期筛查：档案管理员每季度筛查到期记录，梳理《到期记录销毁清单》；2.审批流程：销毁前提交部门及管理层审批，确认无续存、无未闭环事项；3.规范销毁：纸质文件粉碎、电子记录彻底清零，禁止随意丢弃、回收站残留；4.留存凭证：所有销毁操作留存记录，包含销毁时间、内容、执行人、监督人，永久归档。8.特殊场景延期留存规则1.涉及安全事件、纠纷、诉讼、监管调查的记录，自动延期至事项完全闭环；2.体系换版、认证变更期间，旧版记录不得提前销毁，需新旧版本并行留存；3.行业特殊合规要求高于本表标准的，按行业最