ISO/IEC 27001: 2022标准解读（17）正文 7 支持/7.4 沟通

ISO/IEC 27001:2013标准 正文 7 支持/7.4 沟通

组织应确定与信息安全管理体系相关的内部和外部的沟通需求,包括:

a) 沟通什么;
b) 何时沟通;
c) 与谁沟通;
d) 谁来沟通;
e) 影响沟通的过程。

标准解读：

  1. 本条款与附录A中的A.6.1.3和A.6.1.4属于信息安全沟通模块，可以与组织其他体系（如ISO 9001等）的沟通模块整合实施，因此本条款要求可以整合到组织原有的《沟通管理程序》中，也可以单独形成《信息安全沟通管理程序》；
  2. 《沟通管理程序》或《信息安全沟通管理程序》中，应明确信息安全沟通（包含内部和外部的沟通）的基本流程、沟通的职责划分、沟通基本事项、沟通的时机、沟通的对象、沟通方式等；
  3. 在确定沟通对象时，应确保所有影响信息安全的人员理解有效沟通的要求；
  4. 应形成书面的内外沟通事项清单，包含沟通的具体事项、沟通对象以及沟通时机和频率、沟通方式等；
  5. 外部沟通如：（1）外部供方和承包方；（2）顾客和（或）消费者；（3）立法和监管部门；（4）对信息安全管理体系的有效性或更新具有影响；（6）或将受其影响的其他组织；
  6. 内部沟通如：（1）组织的业务过程；（2）信息资产和重要信息资产；（3）组织各业务过程主要风险及处置措施；（4）工作场所、设施位置和周围环境；（5）能力和（或）职责及权限分配；（6）适用的法律法规要求（7）与信息安全破坏和控制措施有关的知识；（8）组织遵守的顾客、行业和其他要求；（9）内部员工个人信息；（10）来自外部相关方的有关问询和沟通；（11）表明与业务过程有关的信息安全破坏的抱怨和警示；（12）影响信息安全的其他条件。
  7. 沟通方式可以是：（1）会议；（2）电话；（3）电子邮件；（4）联络函等。

实施本条款应输出的文档：

  1. 《沟通管理程序》或《信息安全沟通管理程序》；
  2. 信息安全内部和外部沟通事项清单；
  3. 信息安全沟通记录，如电子邮件、联络函、会议记录等。

本条款审核要点：

  1. 审核《沟通管理程序》或《信息安全沟通管理程序》是否包含基本流程、沟通的职责划分、沟通基本事项、沟通的时机、沟通的对象、沟通方式等；
  2. 审核信息安全内部和外部沟通事项清单，检查是否包含沟通的具体事项、沟通对象以及沟通时机和频率、沟通方式等；
  3. 信息安全内部和外部沟通事项清单中的沟通事项是否有实施，可以查看相关沟通记录来验证。