GB-T 22080-2025 与 GB-T 30146-2013 整合实施指南 中文版（ISMS 与 BCMS 双体系） - 副本

GB/T22080-2025与GB/T30146-2013整合实施指南中文版（ISMS与BCMS双体系）前言在数字化深度落地、业务高度依赖信息系统的当下，政企单位普遍面临信息安全失控、业务中断风险、应急处置脱节、体系管理碎片化等核心痛点。GB/T22080-2025《网络安全技术信息安全管理体系要求》（等同ISO/IEC27001:2022）聚焦信息资产全生命周期安全管控，以风险驱动构建安全合规闭环，解决“数据泄露、越权访问、系统漏洞、网络攻击”等安全风险；GB/T30146-2013《公共安全业务连续性管理体系要求》（等同ISO22301:2012）聚焦组织核心业务韧性建设，以业务影响分析、灾备恢复、应急处置为核心，解决“系统瘫痪、故障中断、灾害事故、业务停摆”等连续性风险。现阶段多数企业存在两大体系独立建设、制度重复、流程割裂、风险脱节、演练分散、认证运维成本高昂的问题：ISMS侧重事前安全防控，缺少业务中断后的持续恢复机制；BCMS侧重事中事后业务恢复，缺少前置信息安全风险管控，单一体系落地无法覆盖“安全防护-风险预警-故障处置-业务恢复-持续优化”的全链路管控需求。本指南基于多年双体系落地、认证审核、合规整改实操经验，深度融合GB/T22080-2025与GB/T30146-2013核心标准要求，打通ISMS与BCMS管理逻辑、控制项、流程机制、证据体系、内审管评体系，构建安全防控为基础、业务韧性为核心、双向联动、闭环迭代的一体化双体系管控模型。全文兼顾标准合规性、实操落地性、长效运维性，可直接用于政企双体系搭建、整合整改、年度运维、认证审核，适用于党政、金融、制造、互联网、医疗、工控、云计算等全行业场景。1范围本文件规定了GB/T22080-2025信息安全管理体系（ISMS）与GB/T30146-2013业务连续性管理体系（BCMS）的整合原则、框架融合逻辑、全域控制项映射规则、一体化实施流程、标准化证据留存规范、联合内审与管理评审机制、风险融合管控方案、高频问题整改闭环要求。本指南适用于以下场景落地使用：已单独落地ISMS/BCMS单一体系，需整合双体系、消除管理冗余的政企单位计划同步搭建ISMS与BCMS双体系，实现一次建设、双向认证、长效运维的组织存在信息安全事件频发、业务中断风险高、应急恢复能力薄弱的企业优化整改合规管理人员、运维团队、内审人员开展双体系日常自查、巡检、复盘、持续改进工作第三方咨询、认证、审核机构开展双体系联合辅导、审核、验收的标准化依据核心业务系统、数字化平台、云上业务、工控生产系统的安全与韧性一体化建设本指南完全适配GB/T22080-2025附录A全量控制项与GB/T30146-2013全章节管理要求，支持按需裁剪、分级适配，兼容传统机房、虚拟化、容器云、异地灾备等各类部署场景。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）均适用于本文件：GB/T22080-2025《网络安全技术信息安全管理体系要求》GB/T22081-2025《网络安全技术信息安全管理体系实施指南》GB/T30146-2013《公共安全业务连续性管理体系要求》GB/T30147-2013《公共安全业务连续性管理体系指南》GB/T20984-2022《信息安全技术信息安全风险评估方法》GB/T22239-2019《信息安全技术网络安全等级保护基本要求》ISO22313:2012《业务连续性管理体系实施指南》GB/T19001-2016《质量管理体系要求》（通用管理体系整合参考）3术语和定义、缩略语3.1核心术语定义ISMS信息安全管理体系：基于风险思维建立的全维度信息安全治理体系，通过方针、制度、流程、技术控制、持续改进机制，防范信息泄露、篡改、损毁、滥用等安全风险，保障信息资产保密性、完整性、可用性。BCMS业务连续性管理体系：围绕组织核心业务，通过业务影响分析、风险评估、连续性策略制定、预案落地、演练优化，保障业务在突发故障、灾害、攻击、人为失误等场景下，在可接受范围内持续运行或快速恢复的标准化管理体系。双体系整合：统一ISMS与BCMS的管理架构、制度流程、风险机制、证据体系、评审改进机制，消除管理重叠、流程冲突、管控盲区，实现安全防控与业务韧性深度联动。业务影响分析（BIA）：BCMS核心工作，识别组织关键业务流程、资源依赖、中断容忍时长，明确MTD、RTO、RPO核心指标，为灾备建设与恢复策略提供依据。最大可容忍中断时间（MTD）：核心业务可接受的最长中断时长，超出将造成不可挽回的经济损失、合规风险、声誉损失，是业务连续性建设的核心阈值指标。双体系风险联动：将ISMS识别的信息安全风险，纳入BCMS业务中断风险源；将BCMS业务中断场景，纳入ISMS安全应急处置范围，实现风险双向识别、联动处置。3.2核心缩略语ISMS：信息安全管理体系（InformationSecurityManagementSystem）BCMS：业务连续性管理体系（BusinessContinuityManagementSystem）BIA：业务影响分析（BusinessImpactAnalysis）MTD：最大可容忍中断时间（MaximumTolerableDowntime）RTO：恢复时间目标（RecoveryTimeObjective）RPO：恢复点目标（RecoveryPointObjective）4双体系核心框架对比与整合价值4.1核心定位与差异化对比GB/T22080-2025与GB/T30146-2013同属高阶管理体系，均采用高层引领、风险驱动、PDCA持续改进的通用管理架构，但管控侧重点、覆盖场景、核心目标存在明确互补性，整合后可实现安全与韧性全域闭环。对比维度GB/T22080-2025（ISMS）GB/T30146-2013（BCMS）管控核心信息资产安全防控，保障保密性、完整性、可用性核心业务持续运行，降低中断损失、提升组织韧性风险导向前置防控，识别安全漏洞、攻击、越权、数据泄露等风险后置恢复，识别各类场景导致的业务中断风险与影响覆盖范围人员、设备、网络、系统、数据、制度、供应商全安全维度业务流程、资源依赖、应急响应、灾备恢复、外部突发事件核心输出安全风险清单、加固方案、安全制度、运维记录、整改台账业务影响分析报告、连续性预案、演练报告、恢复指标台账时间维度事前预防、事中监控、事后溯源事前预案、事中处置、事后恢复与复盘优化体系短板缺少业务层级的中断评估与系统性恢复机制缺少前置安全风险管控，无法从源头规避业务中断诱因4.2双体系整合核心价值ISMS与BCMS深度整合，可彻底解决单一体系管控盲区与重复建设问题，形成源头防风险、中断可处置、故障快恢复、长效可迭代的全域安全韧性治理体系，核心价值如下：风险闭环联动：将病毒攻击、系统漏洞、数据损坏、越权操作等ISMS安全风险，纳入BCMS业务中断风险源，从源头减少业务中断事件；将BCMS业务中断场景，纳入ISMS安全应急处置流程，实现风险双向管控、全程闭环。资源成本优化：统一管理制度、流程规范、证据台账、内审管评机制，废除重复文件、冗余流程，一套团队、一套资料、一次审核适配双体系认证，大幅降低合规运维成本。应急处置一体化：整合安全应急预案与业务连续性预案，统一应急组织、响应流程、资源调配、复盘机制，解决以往安全事件与业务故障处置脱节、响应混乱的问题。合规能力升级：同时满足信息安全合规与业务韧性管控要求，适配政企招投标、资质审核、行业监管、客户合规审查等多重场景需求，提升企业核心竞争力。长效迭代优化：依托双体系PDCA机制，实现安全防控、业务韧性、应急能力的持续优化，适配业务迭代、技术升级、风险演变的动态管控需求。4.3整合总体原则统一架构，同源管理：共用高层领导小组、体系管理员、内审团队，统一方针目标、文件架构、风险评估机制，杜绝管理多头。互补融合，无盲区管控：ISMS补齐BCMS前置安全防控短板，BCMS补齐ISMS业务恢复短板，实现全链路无死角管控。极简高效，去重减负：重叠控制项统一规范、一套证据，差异化控制项专项补充，不冗余、不缺失。风险导向，持续改进：以风险为核心贯穿双体系全流程，通过内审、管评、演练、复盘实现动态优化。5双体系全域控制项融合映射矩阵本矩阵结合两大标准核心条款，精准匹配ISMS控制域与BCMS管理模块，明确完全重合、互补适配、独立新增三类映射关系，标注整合落地要点，是双体系制度搭建、自查整改、认证审核的核心依据。GB/T22080-2025（ISMS）控制域核心管控内容对应GB/T30146-2013（BCMS）模块映射关系双体系整合落地要点A.5信息安全方针安全方针、目标、年度评审与迭代优化4.3业务连续性方针与目标完全重合整合输出《安全与业务连续性总体方针》，同步制定双体系年度目标，每年统一评审更新，适配双体系审核要求A.6信息安全组织安全组织架构、岗位职责、权限分工、内外对接4.4组织角色、职责与权限完全重合成立双体系统一管理小组，明确安全管控、业务连续、应急恢复专项岗位职责，实现一岗双责、权责统一A.7人力资源安全入职审查、安全培训、在岗考核、离职权限回收6.3能力、培训与意识提升完全重合统一开展信息安全+业务连续性双维度培训，将应急处置、业务恢复能力纳入岗位考核，全员覆盖A.8资产管理资产识别、分类分级、生命周期管控、资产台账5.2资源识别与依赖分析互补适配基于ISMS资产台账，梳理核心业务资源依赖关系，支撑BCMS业务影响分析，明确关键资产故障对应的业务中断风险A.9访问控制账号权限、身份鉴别、最小权限、访问审计无直接对应模块（安全前置管控）独立补充项严格落实访问控制策略，防范越权操作、账号滥用导致的系统故障与业务中断，作为BCMS风险前置防控手段A.12运行安全漏洞管理、日志审计、系统运维、异常监控6.2运行控制、风险监控互补适配通过常态化安全运维排查系统隐患，提前规避故障中断，同步将运维异常纳入业务风险监控台账A.16信息安全事件管理安全事件识别、响应、处置、复盘、预警7.2事件响应与中断处置完全重合（核心联动项）整合安全事件与业务中断事件处置流程，统一事件分级、上报、处置、复盘标准，实现一事一闭环A.17业务连续性灾备建设、RTO/RPO管控、业务恢复保障5.3业务影响分析、7.3连续性预案与恢复深度重合（核心融合项）以BCMS的BIA分析结果为依据，落地ISMS灾备与连续性控制，精准匹配业务恢复指标，避免过度建设或能力不足A.18符合性合规自查、内审整改、法规适配、记录留存8.1绩效评价、8.2内部审核完全重合开展双体系联合内审、合规自查，统一问题整改闭环，同步纳入年度管理评审持续改进机制问题复盘、迭代优化、风险闭环8.3管理评审、9.1持续改进完全重合建立双体系统一持续改进台账，整合安全问题、业务中断问题、演练缺陷，实现全方位迭代优化6双体系一体化落地实施流程本流程基于PDCA循环搭建，分为五大阶段，全程实现ISMS与BCMS同步建设、同步整改、同步运维、同步取证，规避分步建设的冗余成本与管理漏洞。6.1阶段一：现状摸底与差距分析（1个月）全面梳理企业现有信息安全管控、业务连续性建设现状，对照双体系标准条款与融合映射矩阵，开展全方位差距排查。核心工作包含：梳理组织架构、制度文件、资产台账、运维记录、应急资源；识别现有安全风险、业务中断隐患；完成信息安全风险评估与业务影响分析（BIA）；输出《双体系合规差距分析报告》，明确缺失项、薄弱项、高风险项，制定分阶段整改实施计划。6.2阶段二：体系整合与制度重构（1-2个月）废除重复、冲突、零散的单一体系制度，重构一体化双体系文件架构，分为一级方针、二级管理制度、三级作业指导、四级记录表单四层架构。统一双体系方针目标、岗位职责、风险评估流程、培训机制、应急流程、内审管评流程；专项补齐BCMS独有BIA分析、连续性策略、恢复预案、演练规范，以及ISMS独有安全防控、访问控制、漏洞管控等差异化制度，实现制度全覆盖、无重叠、无缺失。6.3阶段三：技术加固与能力落地（2-3个月）基于差距分析结果，落地双向能力建设：依托ISMS要求完成网络、主机、应用、数据、权限的安全加固，清零高危安全风险，从源头降低业务中断概率；依托BCMS要求完善灾备体系、异地备份、应急资源储备，明确核心业务MTD、RTO、RPO指标，搭建分级业务恢复机制，完成应急预案编制与资源配置。6.4阶段四：演练验证与闭环整改（持续）开展一体化应急演练，覆盖网络攻击、系统瘫痪、数据丢失、设备故障、灾害事故等综合场景，同步验证安全防护有效性与业务恢复能力。针对演练暴露的安全漏洞、恢复流程卡顿、资源不足、职责不清等问题，建立整改台账，完成复测闭环，持续优化预案与技术防护措施。按月开展常态化自查，按季度开展专项巡检。6.5阶段五：联合审核与认证取证（按需开展）每年开展1次双体系联合内部审核与管理评审，全面核查体系运行有效性、风险管控闭环、持续改进落地情况。自查合规后，启动双体系外部认证审核，一次审核完成双向取证，后续依托常态化运维机制，保障体系长效合规运行。7双体系一体化证据收集与留存规范统一双体系证据标准、留存周期、归档规范，实现一份证据、双向复用，彻底解决证据杂乱、重复留存、审核不通过等问题，所有证据完全适配内外审核查要求。7.1通用一体化证据（双体系共用）证据类型具体证据清单留存周期核查要点体系基础证据双体系统一方针目标、组织架构文件、岗位职责说明书、体系文件汇编、文件发放与修订记录永久留存核查体系架构完整、职责清晰、文件受控，适配双体系顶层管理要求风险管控证据信息安全风险评估报告、业务影响分析（BIA）报告、双体系风险清单、风险处置整改台账永久留存，年度更新核查风险识别全面、分析精准、处置闭环，实现安全风险与业务中断风险联动管控培训考核证据年度培训计划、安全与业务连续性培训课件、签到记录、考核成绩、培训总结3年核查全员具备安全防控与业务应急意识，岗位能力匹配体系运行要求审核改进证据联合内审报告、管理评审报告、不符合项整改报告、持续改进台账永久留存核查体系可动态优化，问题闭环有效，满足PDCA持续改进要求7.2ISMS专项安全证据用于支撑信息安全合规审核，同时作为BCMS风险前置佐证，核心包含：资产分类分级台账、账号权限管理记录、口令策略配置截图、漏洞扫描与加固报告、日志审计记录、数据加密与脱敏记录、机房环境巡检记录、供应商安全评估报告、安全事件处置台账。留存周期：日志6个月以上，整改台账永久留存，其余资料留存3年。7.3BCMS专项连续性证据用于支撑业务连续性合规审核，同时承接ISMS故障恢复要求，核心包含：核心业务清单、MTD/RTO/RPO指标定义表、灾备策略文件、备份执行记录、业务恢复演练报告、应急资源台账、突发事件业务处置记录、业务连续性年度复盘报告。留存周期：指标文件永久留存，演练、处置记录留存3年。8双体系联合内审与管理评审机制摒弃单一体系分开审核、重复评审的模式，建立一次内审、一次管评、双向覆盖的联合评审机制，大幅提升审核效率、保障体系运行一致性。8.1联合内部审核每年至少开展1次双体系联合内审，由统一内审团队实施，审核范围覆盖ISMS全量安全控制项与BCMS全量连续性管理条款。审核重点包含：制度执行有效性、风险管控闭环、证据留存规范性、应急演练落地、安全防控与业务恢复联动性、持续改进落地情况。审核完成后输出《双体系联合内部审核报告》，统一梳理不符合项，制定整改方案、明确整改时限与责任人，完成全闭环整改。8.2联合管理评审由最高管理者牵头，每年开展1次双体系联合管理评审，评审输入包含：双体系内审结果、风险处置情况、演练结果、安全事件与业务中断事件、内外审问题、合规变化、业务迭代需求、持续改进成果。评审输出包含：体系运行有效性结论、现存短板、年度优化计划、方针目标调整方案、资源配置优化方案，为下一年度双体系运维提供决策依据。9双体系高频整合问题与标准化整改方案结合大量双体系整合实操与审核经验，汇总行业高频不符合项，提供双向适配、可直接落地的整改方案，同步满足ISMS与BCMS审核要求。高频整合问题双体系违规依据标准化双向整改方案双体系制度独立零散，未实现融合，存在管控脱节ISMS体系完整性要求、BCMS统筹管理要求重构一体化制度体系，统一顶层方针、组织职责、风险流程，将安全防控嵌入业务连续性全流程，删除重复冲突文件仅做安全风险评估，未开展BIA业务影响分析，恢复指标无依据GB/T30146-2013业务影响分析核心要求、ISMS业务连续性控制要求全面梳理核心业务流程，完成BIA分析，明确MTD、RTO、RPO指标，以此优化灾备策略与安全加固方案应急演练单一，仅演练安全处置，未覆盖业务恢复全流程ISMS事件管理要求、BCMS演练验证要求开展一体化综合演练，模拟“安全故障-业务中断-应急处置-系统恢复-业务回迁”全流程，完善演练记录与复盘报告灾备策略与业务需求不匹配，RTO/RPO指标不达标ISMS业务连续性控制、BC