ISO/IEC 27002 信息安全控制实践规范深度解读：从 BS 7799 到数字化时代的合规蓝图
标准谱系与演进脉络
- 1995 年：英国 BS 7799-1 发布，首个信息安全管理实践规范
- 2000 年：ISO/IEC 17799 国际化发布
- 2005 年：更名 ISO/IEC 27002，纳入 ISO 27000 族标准体系
- 2013/2022 版：结构重组为 4 大主题、14 个控制领域、93 条控制措施（2022 版），与 ISO 27001:2022 附录 A 完全对应
双标协同：27001 管管理，27002 管控制
| 维度 | ISO 27001 | ISO 27002 | |------|-----------|-----------| | 定位 | 认证标准，要求“建立什么” | 实施指南，指导“怎么做” | | 结构 | PDCA 管理体系框架 | 具体控制措施清单 | | 审核 | 第三方认证审核 | 无认证，作为实施参考 | | 关系 | 引用 27002 控制目标 | 为 27001 提供实施细节 |拆分原因：合并版过厚（>500 页），分离后各司其职，便于组织按需采纳。
2022 版四大主题与 93 条控制措施精要
- 组织安全（5 条）：政策、角色职责、供应链安全、事件管理
- 人员安全（6 条）：筛选、条款、意识培训、离职管理、远程办公
- 物理安全（13 条）：区域划分、门禁、环境监测、设备全生命周期、介质销毁
- 技术安全（34 条）：访问控制、加密、操作安全、网络安全、应用开发安全、漏洞管理、日志审计、威胁情报
其余 35 条涵盖合规、业务连续性、供应商关系等。
落地实施路径
- 差距分析：现状 vs 27002 控制措施
- 风险评估：资产识别→威胁/脆弱性→风险等级→风险处置方案
- 适用性声明：依据风险结果勾选适用控制措施
- 文档体系建设：政策→程序→作业指导书→记录
- 内审/管理评审/认证审核（如申请 27001 认证）
行业特化趋势
ISO 27001/27002 正衍生行业专用指南：ISO 27017（云安全）、27018（隐私）、27701（隐私信息管理）、27019（能源）、27000 系列医疗/金融/电信扩展，实现“通用基线+行业增量”模块化合规。
工业设备