GB-T 22080-2025 与 GB-T 25067-2020 整合实施指南 中文版（ISMS 与 PIMS 双体系） - 副本

GB/T22080-2025与GB/T25067-2020整合实施指南中文版（ISMS与PIMS双体系）前言数字化时代下，政企组织的业务运营、客户服务、经营管理高度依赖信息系统与个人信息处理活动，信息安全合规与个人信息权益保护已成为企业合规经营、风险防控、市场准入的核心底线。GB/T22080-2025《网络安全技术信息安全管理体系要求》（等同ISO/IEC27001:2022）是全域信息安全管控核心标准，聚焦信息资产全生命周期安全，通过风险驱动模式构建保密性、完整性、可用性三位一体的安全防护体系，解决网络攻击、系统漏洞、数据泄露、权限滥用等通用信息安全风险。GB/T25067-2020《信息技术安全技术信息安全管理体系审核和认证机构要求》（等同ISO/IEC27006:2015），行业通用落地延伸为个人信息管理体系（PIMS）合规管控规范，聚焦个人信息处理全流程合规、隐私权益保护、认证审核合规适配，衔接《个人信息保护法》《网络安全法》等法律法规，专项解决个人信息过度收集、违规存储、非法流转、权益处置缺失、认证合规不达标等隐私合规风险。当前行业普遍存在两大体系割裂落地的痛点：多数企业仅搭建ISMS通用安全防护体系，缺失PIMS专项个人信息合规管控，导致技术安全到位、隐私合规缺失；部分企业单独搭建隐私合规制度，未与ISMS安全技术管控联动，出现制度与实操脱节、安全防护不匹配隐私合规要求、审核认证不符合国标规范等问题。同时，双体系独立运维存在制度冗余、流程重复、证据割裂、审核成本高、合规盲区多等弊端，无法形成“技术安全防护+隐私合规管控”的一体化闭环。本指南基于多年ISMS、PIMS双体系搭建、合规整改、认证审核、企业运维实战经验，严格贴合GB/T22080-2025全量控制要求与GB/T25067-2020审核合规、个人信息管控核心条款，打通两大体系的管理架构、风险机制、流程规范、证据体系、审核评审逻辑，构建安全技术为根基、隐私合规为准则、双向联动、全域闭环的一体化双体系管控模型。全文兼顾国标合规性、行业实操性、长效运维性，可直接用于各行业政企单位双体系新建整合、老旧体系升级、合规整改、年度运维与认证审核。1范围本文件规定了GB/T22080-2025信息安全管理体系（ISMS）与GB/T25067-2020个人信息管理体系（PIMS）的整合基本原则、框架融合逻辑、核心条款映射规则、一体化落地实施流程、标准化证据留存规范、联合内审与管理评审机制、风险联动管控方案、高频合规问题整改闭环要求。本指南适用于以下场景落地使用：已单独落地ISMS体系，需补充PIMS个人信息合规管控、实现双体系整合升级的政企单位计划同步搭建ISMS与PIMS双体系，实现一次建设、双向合规、同步认证的各类组织存在个人信息处理量大、隐私合规风险高、多次合规检查整改的企业优化升级合规管理员、信息安全运维人员、内审人员开展双体系日常自查、巡检、复盘改进工作第三方咨询、认证、审核机构开展ISMS与PIMS双体系联合辅导、审核验收的标准化依据互联网、电商、金融、医疗、教育、政务服务、人力服务等高个人信息处理量行业的合规体系建设本指南完全适配GB/T22080-2025附录A全量安全控制项、GB/T25067-2020审核合规与个人信息管控全条款，支持企业按需裁剪、分级适配，适配本地部署、云端业务、线上服务、线下业务等各类业务场景。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）均适用于本文件：GB/T22080-2025《网络安全技术信息安全管理体系要求》GB/T22081-2025《网络安全技术信息安全管理体系实施指南》GB/T25067-2020《信息技术安全技术信息安全管理体系审核和认证机构要求》GB/T35273-2020《信息安全技术个人信息安全规范》GB/T39276-2020《信息安全技术个人信息安全影响评估指南》GB/T20984-2022《信息安全技术信息安全风险评估方法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》ISO/IEC27006:2015《信息安全管理体系审核和认证机构要求》GB/T19001-2016《质量管理体系要求》（通用管理体系整合参考）3术语和定义、缩略语3.1核心术语定义ISMS信息安全管理体系：基于风险思维建立的全维度信息安全治理体系，通过方针、制度、流程、技术控制、持续改进机制，管控全域信息资产风险，保障信息的保密性、完整性、可用性，防范各类网络与信息安全事件。PIMS个人信息管理体系：以个人信息合规管控为核心，依据GB/T25067-2020及个人信息保护相关法规标准，建立的全流程隐私治理体系，覆盖个人信息收集、存储、使用、传输、共享、销毁、权益响应全生命周期，保障个人信息处理合法、正当、必要。双体系整合：统一ISMS与PIMS的组织架构、方针目标、风险评估、制度流程、审核评审、证据管理机制，将个人信息合规管控嵌入全域信息安全防护体系，消除安全管控与隐私合规的管理盲区、流程冗余、标准冲突。个人信息安全影响评估（PIA）：PIMS核心管控工作，针对个人信息处理活动的风险识别、分析、评价与处置，排查隐私泄露、违规处理、权益侵害等风险，形成合规评估报告。最小必要原则：PIMS核心合规准则，个人信息收集与处理仅限定于业务必需范围，不得过度收集、超范围使用、超期存储个人信息。双体系风险联动：将ISMS识别的数据安全、系统漏洞、访问越权等安全风险，纳入PIMS个人信息风险源；将PIMS隐私合规风险，纳入ISMS安全事件处置范围，实现安全风险与合规风险双向联动管控。3.2核心缩略语ISMS：信息安全管理体系（InformationSecurityManagementSystem）PIMS：个人信息管理体系（PersonalInformationManagementSystem）PIA：个人信息安全影响评估（PersonalInformationImpactAssessment）CIA：保密性、完整性、可用性（Confidentiality、Integrity、Availability）4双体系核心框架对比与整合价值4.1核心定位与差异化对比GB/T22080-2025与GB/T25067-2020均采用高层引领、风险驱动、PDCA持续改进的标准化管理架构，核心治理逻辑同源，但管控维度、风险侧重、合规目标、适用场景形成强互补关系，整合后可实现“技术安全+合规合法”双重保障。对比维度GB/T22080-2025（ISMS）GB/T25067-2020（PIMS）管控核心全域信息资产安全防护，保障数据、系统、网络、设备安全，守住技术安全底线个人信息全生命周期合规管控，满足法规与国标要求，守住隐私合规底线风险导向技术风险防控，聚焦漏洞、攻击、泄露、损毁、滥用等安全风险合规风险防控，聚焦违规收集、超范围使用、权益未响应、认证不合规等合规风险覆盖范围全部信息资产、IT设施、人员权限、运维流程、供应商安全等全域场景个人信息收集、存储、使用、共享、销毁、主体权益响应、合规审核全流程核心输出安全风险清单、加固方案、运维记录、安全事件台账、资产管控报告PIA评估报告、个人信息台账、合规自查报告、权益处置记录、审核合规资料管控维度技术层面、管理层面的安全风险防控制度层面、业务层面的合规风险管控体系短板无专项个人信息合规管控条款，无法满足隐私法规与PIMS审核要求无技术安全防护细则，隐私合规缺少安全技术手段支撑，易出现合规流于形式4.2双体系整合核心价值ISMS与PIMS深度整合，可彻底解决企业“安全有防护、隐私不合规，合规有制度、技术无支撑”的双向痛点，构建技术兜底、合规落地、双向赋能、全域闭环的现代化数据安全治理体系，核心价值如下：风险双向闭环，消除管控盲区：将个人信息违规处理、隐私泄露等PIMS合规风险，纳入ISMS安全风险管控清单，通过安全技术手段从源头规避隐私风险；将ISMS数据安全漏洞、权限滥用等技术风险，纳入PIMS合规处置范围，实现技术风险与合规风险同步识别、同步处置、同步闭环。精简管理成本，杜绝重复建设：统一双体系组织架构、方针目标、风险评估流程、内审评审机制、归档规范，合并重复制度、冗余台账，实现一套管理团队、一套文件体系、一次审核适配双体系合规要求，大幅降低运维与认证成本。合规双向达标，适配监管要求：同时满足GB/T22080-2025信息安全认证、GB/T25067-2020个人信息合规审核要求，全面适配《个人信息保护法》等法律法规监管、行业合规检查、招投标资质审核、客户合规审查场景。制度技术融合，落地性更强：以PIMS合规制度明确个人信息管控业务规则，以ISMS技术措施保障合规落地，解决传统合规制度无法落地、安全管控无合规依据的脱节问题。长效迭代优化：依托双体系PDCA循环机制，结合法规更新、业务迭代、风险演变，持续优化安全策略与合规流程，实现安全防护与隐私合规动态适配、持续升级。4.3整合总体原则同源共治，统一架构：共用最高管理者牵头的体系管理小组，统一双体系方针目标、文件层级、风险评估方法、审核改进机制，杜绝多头管理、标准不一。互补融合，双向赋能：ISMS补齐PIMS技术防护短板，PIMS规范ISMS个人信息管控业务边界，实现技术安全与隐私合规深度融合、无死角管控。去重增效，务实落地：重叠管控项统一规范、证据复用，差异化专项条款独立补齐，不冗余、不缺失，兼顾合规性与企业实操效率。法规对标，风险导向：严格对标国标与个人信息保护相关法律法规，以风险为核心贯穿全流程，优先处置高危安全与合规风险。5双体系全域控制项融合映射矩阵本矩阵结合GB/T22080-2025附录A全量控制域与GB/T25067-2020核心合规条款，精准划分完全重合、互补适配、独立新增三类映射关系，明确双体系整合落地要点，为制度搭建、自查整改、认证审核提供核心依据。GB/T22080-2025（ISMS）控制域核心管控内容对应GB/T25067-2020（PIMS）模块映射关系双体系整合落地要点A.5信息安全方针安全方针、年度目标、体系评审与迭代优化体系合规方针、隐私保护目标管理完全重合整合输出《信息安全与个人信息保护总体方针》，同步制定双体系年度目标，统一年度评审更新，适配双体系审核标准A.6信息安全组织安全组织架构、岗位职责、权限分工、内外对接个人信息保护岗位职责、合规管理组织要求完全重合成立双体系统一管理小组，明确信息安全管控、个人信息合规、隐私权益响应专项岗位职责，实现一岗双责A.7人力资源安全入职审查、安全培训、在岗考核、离职权限回收隐私合规培训、岗位合规能力考核、人员权限合规管控完全重合统一开展信息安全+个人信息保护双维度培训，将隐私合规操作、风险防控能力纳入岗位考核，实现全员合规赋能A.8资产管理资产识别、分类分级、生命周期管控、资产台账个人信息资产识别、分类分级、敏感信息专项管控互补适配基于ISMS全域资产台账，单独拆分个人信息、敏感个人信息资产清单，完成分级分类，支撑PIMS合规管控与PIA评估A.9访问控制账号权限、身份鉴别、最小权限、访问审计个人信息访问权限管控、操作留痕、合规审计互补适配（核心联动项）依托ISMS访问控制策略，严格落实个人信息最小权限访问，全程操作留痕，杜绝越权查看、导出、篡改个人信息，保障隐私合规A.12运行安全漏洞管理、日志审计、系统运维、异常监控个人信息运维合规、异常操作监控、合规自查互补适配在常态化安全运维中增加个人信息合规巡检，监控超范围操作、异常导出、违规共享等行为，同步处置安全与合规异常A.15数据安全数据分类、脱敏、加密、备份、销毁全流程安全管控个人信息全生命周期合规处理、脱敏销毁、存储期限管控深度重合（核心融合项）以ISMS数据安全技术措施落地PIMS合规要求，严格执行个人信息最小存储期限、脱敏加密、到期销毁机制，实现安全与合规统一A.16信息安全事件管理安全事件识别、响应、处置、复盘、预警个人信息泄露事件、合规违规事件处置与上报完全重合整合安全事件与隐私合规事件处置流程，统一事件分级、上报、处置、复盘标准，落实泄露事件告知与整改要求A.18符合性合规自查、内审整改、法规适配、记录留存个人信息合规自查、审核合规、法规适配整改完全重合开展双体系联合合规自查，同步核查信息安全合规与个人信息隐私合规问题，统一整改闭环，纳入管理评审持续改进机制问题复盘、迭代优化、风险闭环隐私合规缺陷整改、体系合规迭代优化完全重合建立双体系统一改进台账，整合安全漏洞、合规缺陷、审核问题，实现全方位持续优化6双体系一体化落地实施流程本流程基于PDCA循环搭建，分为五大标准化阶段，实现ISMS安全体系与PIMS合规体系同步建设、同步整改、同步运维、同步取证，彻底规避分步建设导致的流程割裂、重复投入、合规盲区问题。6.1阶段一：现状摸底与差距分析（1个月）全面梳理企业现有信息安全管控、个人信息处理合规现状，对照GB/T22080-2025、GB/T25067-2020及个人信息保护相关法规，开展全方位差距排查。核心工作包括：梳理组织架构、制度文件、IT资产、个人信息处理业务流程；识别网络安全、数据安全、权限管控等技术风险；排查个人信息过度收集、超期存储、权益响应缺失、未做PIA评估等合规风险；同步完成信息安全风险评估与个人信息安全影响评估（PIA），输出《双体系合规差距分析报告》，明确缺失项、薄弱项、高风险项，制定分阶段落地整改计划。6.2阶段二：体系整合与制度重构（1-2个月）废除原有零散、重复、冲突的单一体系制度，搭建四层一体化文件架构（一级方针、二级制度、三级作业指导、四级表单记录）。统一双体系顶层方针、组织职责、风险评估方法、培训考核、内审评审通用流程；专项补齐ISMS差异化技术安全制度（漏洞管控、访问控制、运维安全等）与PIMS差异化合规制度（个人信息收集告知、主体权益响应、PIA评估、脱敏销毁、合规审核等），确保制度全覆盖、无重叠、无冲突，完全适配双体系国标要求。6.3阶段三：技术加固与合规落地（2-3个月）基于差距分析结果，同步推进技术加固与合规落地。依托ISMS标准完成网络、主机、应用、数据、权限的全方位安全加固，清零高危安全漏洞、权限滥用、日志缺失等技术风险；依托PIMS标准规范个人信息全生命周期处理流程，完善隐私政策公示、用户同意留存、敏感信息专项防护、数据脱敏、到期销毁、注销响应等合规措施，完成个人信息资产分级分类与PIA专项评估，实现技术防护支撑合规落地、合规规范约束业务操作。6.4阶段四：自查验证与闭环整改（持续）建立常态化自查验证机制，按月开展双体系日常巡检，按季度开展专项合规核查。重点验证安全技术措施有效性、个人信息处理合规性、事件处置闭环性、资料留存规范性。针对自查、业务核查、模拟审核暴露的安全漏洞、合规缺陷、流程卡顿、资料缺失等问题，建立专项整改台账，明确责任人与整改时限，完成整改复测闭环，持续优化制度流程与技术防护策略。6.5阶段五：联合审核与认证取证（按需开展）每年至少开展1次双体系联合内部审核与管理评审，全面核查体系运行有效性、风险管控闭环、合规落地情况、持续改进成效。自查合规达标后，启动外部认证审核，实现一次审核、双体系合规取证。后续依托常态化运维机制，持续保障体系合规、稳定、有效运行。7双体系一体化证据收集与留存规范统一双体系证据标准、留存周期、归档规范，实现一份证据、双向复用，解决证据杂乱、重复留存、审核缺失、合规不达标等问题，所有证据完全适配内外审核与监管检查要求。7.1通用一体化证据（双体系共用）证据类型具体证据清单留存周期核查要点体系基础证据双体系统一方针目标、组织架构文件、岗位职责说明书、体系文件汇编、文件发放与修订记录永久留存核查体系架构完整、职责清晰、文件受控，适配双体系顶层管理与审核要求风险管控证据信息安全风险评估报告、PIA个人信息安全影响评估报告、双体系风险清单、风险处置整改台账永久留存，年度更新核查安全风险与隐私合规风险识别全面、处置闭环、双向联动管控到位培训考核证据年度双体系培训计划、安全与隐私合规培训课件、签到记录、考核成绩、培训总结3年核查全员具备信息安全防护与个人信息合规操作能力，岗位能力匹配体系运行要求审核改进证据联合内审报告、管理评审报告、不符合项整改报告、持续改进台账永久留存核查体系可动态优化，安全与合规问题闭环有效，满足PDCA持续改进要求7.2ISMS专项安全证据用于支撑信息安全体系合规审核，同时作为PIMS隐私合规的技术佐证，核心包含：全域资产分类分级台账、账号权限管理记录、口令策略配置截图、漏洞扫描与加固报告、系统与操作日志审计记录、数据加密脱敏记录、机房巡检记录、供应商安全评估报告、安全事件处置台账。留存周期：日志记录留存6个月以上，整改台账永久留存，其余资料留存3年。7.3PIMS专项合规证据用于支撑个人信息管理体系合规审核，承接ISMS数据安全管控要求，核心包含：个人信息与敏感个人信息专项台账、隐私政策公示截图、用户同意收集留存记录、个人信息主体权益处置记录（查询、更正、删除、注销）、个人信息存储期限管控记录、脱敏与销毁记录、年度PIA评估报告、隐私合规自查报告。留存周期：核心合规文件永久留存，日常处置、自查、评估记录留存3年。8双体系联合内审与管理评审机制摒弃双体系分开审核、重复评审的低效模式，建立一次审核、一次评审、双向覆盖、全域校验的联合评审机制，保障体系运行一致性、合规性、有效性，大幅降低审核运维成本。8.1联合内部审核每年至少组织1次ISMS与PIMS双体系联合内审，由统一持证内审团队实施，审核范围全面覆盖GB/T22080-2025全量安全控制条款与GB/T25067-2020全量合规管控要求。审核核心重点包括：体系文件落地有效性、信息安全技术管控闭环、个人信息全流程合规性、风险双向联动处置、培训与考核落地、事件处置与复盘、资料留存规范性、持续改进落地情况。审核完成后输出《双体系联合内部审核报告》，统一梳理安全类、合规类不符合项，制定专项整改方案，明确整改责任人、整改措施与完成时限，实现100%闭环整改。8.2联合管理评审由企业最高管理者牵头，每年开展1次双体系联合管理评审，评审输入包含：双体系联合内审结果、年度安全风险处置情况、PIA评估结果、隐私合规自查问题、安全与合规事件处置记录、法规政策更新变化、业务迭代调整、年度改进成果、内外审问题整改情况。评审输出包含：双体系年度运行有效性结论、现存安全与合规短板、下一年度体系优化计划、方针目标调整方案、人员与技术资源配置优化方案，为双体系长效合规运行提供顶层决策支撑。9双体系高频整合问题与标准化整改方案结合大量双体系整合落地、合规整改、认证审核实战经验，汇总行业高频不符合项，提供双向适配、可直接落地、一次性通过审核的标准化整改方案，同步满足ISMS与PIMS双体系国标要求。高频整合问题双体系违规依据标准化双向整改方案双体系制度割裂，安全制度无合规约束、合规制度无技术支撑ISMS体系完整性要求、GB/T25067-2020体系统筹管控要求重构一体化制度体系，将个人信息合规要求嵌入信息安全全流程，在安全运维、数据管控、权限管理中明确隐私合规细则，删除重复冲突文件，实现制度双向联动仅开展安全风险评估，未开展PIA个人信息安全影响评估，合规无依据GB/T25067-2020合规评估要求、ISMS数据安全管控要求全面梳理个人信息处理业务，完成全量PIA评估，形成合规评估报告，根据评估结果优化数据安全策略与个人信息处理流程，补齐合规依据个人信息权限管控混乱，存在越权访问、违规导出风险，安全与合规双重不达标ISMS访问控制要求、PIMS个人信息合规管控要求落实最小权限原则，梳理个人信息访问账号权限，清理冗余权限，开启全程操作日志审计，建立权限定期复核机制，杜绝越权操作风险个人信息超期存储、未落实脱敏销毁，合规缺陷突出ISMS数据