ISO-IEC 27032-2023《网络安全-互联网安全指南》解读（含ISMS整合实施）

ISO/IEC27032:2023《网络安全——互联网安全指南》解读（含ISMS整合实施）一、标准概况&2023版核心变更（对比2012版）1.1适用范围本标准面向所有接入互联网的组织，提供高层级互联网安全指引：厘清互联网安全、Web安全、网络安全、网络空间安全（Cybersecurity）四者边界关系识别互联网场景全部相关方、定义各方职责角色针对互联网典型威胁（社会工程、零日、勒索、恶意软件、黑客攻击、隐私攻击）提供风险管控指引覆盖攻击前准备、攻击预防、检测监控、事件响应全生命周期控制措施1.22023版四大技术修订要点标题调整：从旧版泛化的“网络安全指南”改为聚焦互联网场景：GuidelinesforInternetsecurity，重心收敛到【面向公网、互联网暴露面安全】，不再宽泛覆盖全部网络空间安全重构文档结构，逻辑从“相关方协同”转向风险驱动风险评估模型升级：新增威胁、脆弱性、攻击向量三维分析框架，专门适配互联网开放环境的链式攻击场景新增附录A（资料性）：本标准全部互联网安全控制措施↔ISO/IEC27002:2022控制集一一对应，打通与ISMS体系的对接通道二、核心概念辨析（新版新增独立章节，高频混淆点）术语标准内定义核心边界信息安全InformationSecurity（ISO27000主线）保护信息的保密性、完整性、可用性（CIA），覆盖纸质、本地、离线、内部信息范围最大，ISMS（27001）的根基网络安全NetworkSecurity通信网络（内网、专线、局域网）层面的协议、链路、设备防护偏通信底层Web安全WebSecurity网站、Web应用、前端业务的安全（OWASP类范畴）属于互联网安全子集互联网安全InternetSecurity（27032:2023核心）组织资产、业务、服务暴露在公网互联网上的安全，包含跨组织交互、供应链、外部用户访问本标准聚焦对象网络空间安全Cybersecurity互联网+数字生态、多方主体联动的整体安全，27032是其落地指南之一上位大概念一句话定位：ISO27001管组织内部全量信息安全；ISO27032:2023专门补强【对外互联网暴露面】的短板三、标准主体框架与核心内容要点3.1第6章：互联网安全相关方与角色识别互联网安全是多方责任，标准要求组织识别并明确接口：组织自身（安全负责人、运维、业务、法务）客户、终端用户供应商（云厂商、IDC、CDN、域名服务商、安全服务商）CERT/CSIRT、行业监管机构、公安网信、同业合作方重点要求：建立跨组织沟通、情报共享、事件协同通报机制（旧版薄弱项，新版强化）3.2第8章：互联网安全风险评估与处置（新版重点）不再沿用传统资产单维度评估，采用三维要素：威胁：钓鱼、勒索、DDoS、0day、供应链投毒、账号爆破、API滥用、社会工程脆弱性：公网服务漏洞、弱口令、域名劫持、证书失效、权限过度开放、第三方组件漏洞攻击向量：公网端口、Web入口、开放API、邮件、第三方插件、员工远程接入、IoT公网设备风险处置依然沿用ISO27005的4种策略：规避、降低、转移、接受；所有公网高风险必须留存风险评审记录3.3第9章：互联网安全12大类高层控制措施（9.2节，附录A映射ISO27002）互联网安全方针策略：单独补充公网专项安全策略，不能仅复用内网策略访问控制：公网账号、对外API、远程访问、客户侧账号权限、MFA多因素认证安全意识、教育与培训：侧重钓鱼识别、外网办公、外部链接、公网数据上传风险安全事件管理：跨组织上报、外部服务商协同取证、监管报送、对外口径管理资产管理：公网资产台账（域名、公网IP、API、小程序、云公网实例），定期盘点测绘供方管理：互联网服务商（CDN、DNS、WAF、云、代运营）的安全准入、审计、合同安全条款互联网场景业务连续性：公网业务降级、DDoS清洗、异地接入容灾互联网隐私保护：公网页面、对外接口的个人信息采集、脱敏、Cookie合规漏洞管理：公网资产定期扫描、渗透测试、外部漏洞情报接收、应急补丁流程网络管理：边界防护、WAF、DDoS防护、流量审计、互联网出口管控恶意软件防护：面向互联网入口的沙箱、邮件网关、终端上网防护密码应用与合规识别：公网HTTPS证书、签名、加密传输，适配属地网络安全、数据合规法规四、ISO27032:2023与ISMS（ISO27001:2022）整合逻辑核心原则：不单独新建一套管理体系，以现有ISMS为底座，将27032全部要求作为【互联网暴露面专项增强包】嵌入PDCA循环

误区澄清：不是“两套体系并行”；27032没有独立的体系要求，全部控制都可以映射到ISO27001附录A（ISO27002）4.1两者定位对比项目ISO/IEC27001:2022（ISMS）ISO/IEC27032:2023性质管理体系要求标准，可认证专项实施指南标准，不可单独认证核心目标建立全组织信息安全风险管理体系解决【公网/互联网暴露面、跨多方协同】的安全缺口覆盖范围全部信息资产：内部+线下+内网+公网仅聚焦接入互联网、对外暴露的业务与资产控制来源附录A引用ISO27002全部控制集高层专项控制，附录A反向映射回ISO27002五、落地整合实施步骤（可直接用于项目方案）Step1：现状差距分析（GapAnalysis）基于现有ISMS文件，对照27032逐条核查缺失项，重点核查清单：

✅是否建立独立公网资产测绘台账（域名、API、公网云资源）

✅风险评估是否专门识别互联网攻击向量、外部相关方风险

✅事件预案是否包含联动运营商、CERT、监管的跨组织协同流程

✅供应商合同是否覆盖CDN/DNS/WAF等互联网服务商安全责任

✅公网业务连续性、DDoS、域名劫持应急方案

✅面向互联网场景的专项意识培训（钓鱼、外网办公）输出物：《ISO27032差距分析报告+整改计划》Step2：嵌入ISMSPDCA过程（ISO27001:2022高阶结构）策划（Plan）4.2相关方需求：新增互联网客户、云服务商、网信监管、CERT的安全诉求6.1风险机会：扩充风险库，增加公网特有威胁向量；更新风险评估方法，加入27032的威胁-脆弱性-攻击向量模型6.2信息安全目标：增设公网漏洞闭环率、钓鱼演练通过率、公网资产盘点覆盖率等指标实施（Do）【核心文件融合】

不需要重写手册，在现有ISMS文件中增补：《互联网安全管理细则》（二级文件，承接27032全部要求）表单增补：公网资产清单、外部安全事件协同记录表、互联网供应商安全评估表、公网渗透测试报告控制措施：在原有27002控制上增加公网场景补充要求（附录A映射对齐）检查（Check）内审：内审检查表增加ISO27032专项检查条款（作为ISMS内审的一部分）管理评审：新增互联网安全绩效、公网攻击态势、跨方协同问题作为评审输入改进（Act）漏洞、公网安全事件、外部通报问题纳入不符合项，触发纠正措施Step3：控制项映射落地（依托附录A）标准附录A已经给出映射关系，实施时直接引用：27032每一条互联网控制，找到对应的ISO27002控制编号，不新增独立控制，而是给原有控制增加场景化实施细则

示例：27032【公网漏洞管理】→映射ISO27002Vulnerabilitymanagement控制，补充：公网资产优先扫描、外部漏洞情报接入、72h高危漏洞处置时限Step4：事件协同能力建设（27032最独特价值）ISMS原有事件响应偏组织内部处置；27032强制补齐跨边界协同：建立外部联络清单：运营商、云厂商、CERT、监管、法务、公关区分内部响应流程、对外通报流程、客户告知流程留存跨机构取证、数据共享、情报交换的权限与记录要求六、内审&认证审核关注点（给审核员/体系专员）不是查有没有27032证书，而是核查：组织是否识别互联网特有风险，并在ISMS体系内落地对应控制重点查证据：公网资产台账、外部供应商安全评审、钓鱼演练记录、跨组织事件协同记录、公网风险评估记录常见不符合项：只做内网安全，公网资产无盘点、无专项风险评估事件预案只有内部处置，没有外部协同、上报流程互联网服务商（CDN、域名）未纳入供方安全管理风险评估只看资产，未识别攻击向量、社会工程类威胁七、常见落地误区❌误区1：单独建立一套独立于ISMS的27032体系，两套手册、两套表单（冗余、审核不认可）

✅正确：作为ISMS的专项补充模块，融入现有体系

❌误区2：27032只做技术设备（WAF、DDoS），忽略多方协同、客户、监管接口

✅正确：27032特色就是