一、名称

标准全称：ISO/IEC 27001:2022《信息安全、网络安全和隐私保护 信息安全管理体系 要求》（英文：Information security, cybersecurity and privacy protection—Information security management systems—Requirements），为ISO/IEC 27001标准的第三版。

制定与发布机构：标准由ISO与国际电工委员会（IEC）联合发布，由ISO/IEC JTC 1信息技术联合技术委员会（SC 27信息安全、网络安全和隐私保护分技术委员会）制定。

版本沿革：ISO/IEC 27001于2005年发布首版，2013年发布第二版，2022年10月发布第三版并延续至今。2024年发布修订件ISO/IEC 27001:2022/Amd 1:2024（气候变化行动修订）。我国已发布等同采用ISO/IEC 27001:2022的GB/T 22080-2025《网络安全技术 信息安全管理体系 要求》，于2025年6月30日发布、2026年1月1日实施，现行有效，全部代替GB/T 22080-2016。

核心定位：ISO/IEC 27001规定在组织环境下建立、实现、维护和持续改进信息安全管理体系的要求，通过应用风险管理过程保持信息的保密性、完整性和可用性，为相关方树立风险得到充分管理的信心。

二、适用范围

ISO/IEC 27001规定了组织建立、实现、维护和持续改进信息安全管理体系的要求，同时规定了根据组织需求所剪裁的信息安全风险评估和处置要求。标准规定的要求具有通用性，适用于各种类型、规模或性质的组织。适用范围要点如下表所示。

表1 ISO/IEC 27001:2022 适用范围要点

ISO/IEC 27001的信息安全管理体系通过风险管理过程保持信息的保密性、完整性和可用性，体系实现程度与组织自身需求相符合，可被内部和外部各方用于评估组织的信息安全能力。2022版将信息安全控制整合为93项并按四大主题组织，与ISO/IEC 27002:2022对应；2024年修订补充了气候变化相关要求。

三、应用的好处

组织按照ISO/IEC 27001建立并实施信息安全管理体系，可以获得以下好处：

1. 增强对网络攻击的韧性——通过体系化风险管理降低遭受网络攻击的脆弱性，增强应对网络威胁的能力。

2. 从容应对不断演变的安全威胁——保持对新威胁的准备，及时识别并处置不断变化的信息安全风险。

3. 保障信息的保密性、完整性和可用性——保护财务报表、知识产权、员工数据及第三方委托信息等资产不受损害，按需可用。

4. 提供集中管理的统一框架——在全组织范围内统一防护人员、流程、技术及各类信息载体，实现整体保护。

5. 提升效率、节约成本——将信息安全融入业务流程和管理控制，减少低效防护投入，提高运行效率。

6. 便于多体系整合——采用统一高层结构，便于与ISO 9001、ISO 14001等管理体系标准整合实施。

7. 获得国际公认的市场信任——作为全球应用最广泛的信息安全管理标准，支撑供应链准入、招投标与国际合作，据ISO调查全球150个国家持证组织超过七万家。