ISO/IEC 27002:2022知识地图：4大主题、5类属性与93项控制-平芜编程栈

简介：ISO/IEC 27002-2022最新中文版面向信息安全从业者、等保与ISO 27001信息安全管理体系建设人员及数据安全治理学习者，提供信息安全控制措施的中文参考。压缩包仅含1个PDF，大小约44.41MB，便于在电脑或移动端直接查阅。当前已有351人学习下载，说明其在体系落地与标准理解场景中具有一定参考价值。文档围绕组织控制、人员控制、物理控制和技术控制展开，涵盖控制目标、控制布局、主题与属性、生命周期考虑因素及相关国际标准等模块，并保留序、引言、术语定义与目录结构，适合对照英文原版梳理新版变化。读者可据此快速定位控制条目，理解网络安全与数据安全治理要求，为制度修订、风险评估、控制措施选型及认证准备工作提供可复用的标准依据。

1. 从114到93：一张ISO/IEC 27002:2022的知识地图

ISO/IEC 27002:2022 在信息安全管理体系的复习里位置有点尴尬：人人都知道它重要，真到默写控制项时又只剩“93条”这一个记忆点。它把2013版的14个条款、35个控制目标、114项控制，重排成4个主题——组织37项、人员8项、物理14项、技术34项，再给每项控制贴上5类属性标签，翻附录A就能按“预防还是检测”“保的是保密性还是可用性”反查。这套结构适合两类人：备考认证、需要成体系记控制措施的人；以及做27001认证落地，要把标准条款翻译成制度文件和证据清单的人。这张地图的价值不在背编号，而在知道每个编号背后挡的是什么风险、和相邻编号的边界在哪。

2. 骨架与控制域：4大主题、5类属性与组织控制37项

2.1 从2013版到2022版：删了什么、合了什么、加了什么

先看整体账。2013版按14个条款展开（第5章到第18章），每个条款下有控制目标，控制目标下才是具体控制，一共35个目标、114项控制。2022版直接把“控制目标”这一层拿掉，控制项按主题归入第5到第8章，控制目标退化成一个隐含的“目的陈述”写在每项控制的开头。复习时如果还按旧版的“目标—控制”两级去背，会发现对不上号，这是第一处需要切换的习惯。

维度	2013版	2022版
条款结构	14个条款（5—18章）	4个主题（5—8章）加附录A
控制目标	35个独立目标	取消该层级，改为控制目的
控制数量	114项	93项
索引方式	单一：按条款	双索引：主题编号加属性标签
新增控制	—	11项

数量下降不是要求变松，主因是“多合一”。5.1信息安全策略把旧版两条方针要求收进一条，8.2特权访问权把分散的特权管理要求并成一条，类似的合并占了减少量的大头；剩下的少数控制被拆解归并到别的主题里，比如原来散在人员与网络访问两处的远程工作要求，现在集中到6.7。真正需要单独记的是新增的11项，它们基本对应这几年攻击面和合规环境的变化：

5.7 威胁情报：把外部情报纳入管理动作，而不是等事件上门
5.23 使用云服务的信息安全：云从“供应商问题”升级为独立控制
7.4 物理安全监视：视频、门禁记录也要纳入控制范围
8.9 配置管理：配置基线首次成为独立控制
8.10 信息删除、8.11 数据遮盖、8.12 防止数据泄漏：数据出口的三道闸
8.16 活动监视：从“记日志”走到“看行为”
8.20 网络安全：把网络服务安全、隔离、过滤串成一条主线
8.23 web 过滤：明确到具体技术手段
8.25 安全开发生命周期：SDL 进入控制清单

这11项是复习性价比最高的部分：新、独立、考点密集，而且很多老资料里根本没有。梳理下来会发现，新增项集中在“数据出口”和“开发运维”两块，正好对应近几年的高频事件类型。

2.2 五项属性：控制类型、CIA、网络安全概念、运行能力、安全域

2022版最容易被低估的设计是属性。每项控制都被打上五类标签，附录A按这五类各给一张反查表。属性不是装饰，它把“线性背93条”变成了“多维检索”，考试里问“哪些是检测性控制”“哪些覆盖响应阶段”，靠属性表几秒就能定位。

属性	取值	复习用法
控制类型	预防性、检测性、纠正性	判断控制起作用的时间点
信息安全属性	保密性、完整性、可用性	对应 CIA 三要素，看控制保的是哪一面
网络安全概念	识别、保护、检测、响应、恢复	对应事件生命周期，适合答“覆盖哪个阶段”
运行能力	治理、资产管理、信息保护、人力资源安全、物理安全、系统与网络安全、应用安全、安全事件管理、业务连续性与保障、合规性	按安全运营职能归类
安全域	治理与生态系统、保护、防御、韧性	按治理层次归类，适合写体系文件时分层

用代码的方式理解更直观——把属性当成字典的键，控制编号当成值，反查就是一次过滤：

# 按属性反查控制项，这里只列两项做示例，完整93项按附录A补齐 controls = { "5.7": { "title": "威胁情报", "theme": "组织", "type": "预防性", "cia": ["保密性", "完整性", "可用性"], "concept": ["识别"], }, "8.16": { "title": "活动监视", "theme": "技术", "type": "检测性", "cia": ["保密性", "完整性", "可用性"], "concept": ["检测"], }, } def by_concept(stage): # 返回落在指定网络安全概念阶段的控制编号 return [no for no, meta in controls.items() if stage in meta["concept"]] print(by_concept("识别")) # ['5.7'] print(by_concept("检测")) # ['8.16']

这段代码解决的是复习里的一个具体动作：给定一个阶段或一个属性，快速拉出候选控制清单。注意两个参数的含义——type是控制类型，concept是网络安全概念，两者不是一回事：5.7 威胁情报是预防性控制，但它落在“识别”阶段；8.16 活动监视是检测性控制，落在“检测”阶段。控制类型描述“什么时候起作用”，网络安全概念描述“在事件链条的哪一环”，混着背就会在选择题里翻车。

最容易忽略的是属性的“多标签”性质。一项控制可以同时是预防性、覆盖保密性、落在保护阶段、属于系统与网络安全能力、归在防御域，五个维度互不排斥。所以属性表不能当单选题用，它是筛子不是格子。

2.3 组织控制37项：七组主线与各自的记忆抓手

组织控制是最大的一块，37项占了全量的四成。硬背编号必然串味，按治理动作分组会好很多。梳理下来可以切成七组：

组	控制编号	记忆抓手
治理与策略	5.1—5.4、5.35—5.37	定方向、定人、定分离、定评审
威胁与项目	5.7、5.8	情报前置、项目内置
资产	5.9—5.14	清单、使用、归还、分类、标签、传递
访问与身份	5.15—5.18	策略、身份、凭据、权限四件套
供应链与云	5.19—5.23	协议、链条、监视、云
事件与连续性	5.24—5.30	准备、评估、响应、复盘、取证、中断、连续性
合规与隐私	5.31—5.34	法规、知产、记录、PII

第一组是管理层动作。5.1 信息安全策略要求策略成文并定期评审，5.3 职责分离是审计视角的硬要求，5.35 独立评审强调“评审人不能是执行人”，5.36 遵从性则要求定期检查策略有没有被执行。这组的特点是没有技术味，但审计时最先被查——制度文件、评审记录、职责矩阵，缺一样就是不符合项。

第二组只有两项，含金量很高。5.7 威胁情报是新增项，考的是“组织如何获取并使用外部威胁信息”，落地形态通常是情报订阅、行业共享、内部研判三件事。5.8 项目管理中的信息安全，重点是把安全要求写进项目立项和验收节点，而不是项目做完补一次渗透测试。

第三组资产六项是一条完整链路：5.9 先有清单，5.10 规定可接受使用，5.11 管资产归还，5.12 分类，5.13 标签，5.14 传递。复习时按顺序记比按编号记牢，因为这条链路本身就是工作流。这里和后面的8.11 数据遮盖、8.12 防止数据泄漏是联动的——分类分级做不出来，遮盖和防泄漏就没有依据。

第四组访问与身份四项：5.15 访问控制是策略层，5.16 身份管理管账号生命周期，5.17 鉴别信息管口令和凭据，5.18 访问权限管授权和复核。这四项和技术主题里的8.2 特权访问权、8.3 信息访问约束、8.5 安全身份认证极易混淆，边界问题留到第5章拆。

第五组供应链与云五项。5.19 管供方关系中的安全要求，5.20 管协议条款，5.21 管 ICT 供应链，5.22 管供方服务的监视、评审和变更，5.23 管云服务。这组的逻辑是“从选商到退出的全周期”，5.23 作为新增项，考的是责任共担模型下组织自己要担哪些控制。

第六组事件与连续性七项，是整章最像流程图的段落：5.24 规划与准备、5.25 评估与决策、5.26 应对、5.27 吸取教训、5.28 收集证据、5.29 中断期间的信息安全、5.30 ICT 业务连续性。5.28 收集证据常被当成“取证技术”，其实它要求的是事前把证据保全的流程和工具准备好，事中才不至于抓瞎。

第七组合规与隐私四项。5.31 法律法规与合同要求，5.32 知识产权，5.33 记录保护，5.34 PII 隐私和保护。5.34 里有两类角色要分清：决定处理目的的是控制者，替别人处理的是处理者，两者义务不同。这一组在中文语境下还要注意术语对齐，试译稿在修订时参照了对应的国标版本调整用词，复习时以国标译法为准更稳。

3. 人员与物理：8项人事控制、14项物理控制的考点分布

3.1 人员控制8项：从入职审查到离职回收的闭环

人员控制只有8项，但它是唯一一条覆盖“人”的全生命周期的线，按雇佣阶段排比按编号背有效得多。

阶段	控制编号	要点
入职前	6.1 审查、6.2 雇佣条款和条件	背景核查按岗位风险分级，安全责任写进合同
在职	6.3 意识教育培训、6.4 纪律程序、6.6 保密协议、6.7 远程工作、6.8 报告事态	培训要考核留痕，保密协议定期重签
离职或变更	6.5 终止或变更后的责任	权限回收、资产归还、知识交接

6.3 是最容易被做薄的一项。很多组织把它理解成“每年办一次培训”，标准要求的是持续的意识、教育和培训三段式：意识解决“知道有这回事”，教育解决“理解为什么”，培训解决“会做具体动作”。审计看的是培训计划、签到、考核结果和改进记录，只有签到表是撑不住的。

6.7 远程工作值得单独说。2013版里远程工作的要求散在人员和网络访问两处，2022版把它集中成一项，说明标准把它当成一种常态工作模式而不是临时安排。落地时它要和技术侧联动：终端防护靠8.1，网络接入靠8.20，场外资产保管靠7.9，单独看6.7会觉得它只说了“要有制度”，其实一半的控制点在别处。

6.8 报告信息安全事态和5.24到5.26是一条线。员工报告通道的门槛要低——如果一个普通员工发现异常后不知道该报给谁、怕报错被追责，那5.24准备得再好也收不到信号。这里和8.16 活动监视互补：技术手段抓的是系统侧异常，人报的是技术看不见的异常。

3.2 物理控制14项：周界、区域、设备、介质四层防护

物理控制14项按防护层次排，正好是四层，从外到内再到退役。

层次	控制编号	要点
周界与入口	7.1 物理安全周界、7.2 物理入口、7.4 物理安全监视	监视是新增项，门禁和视频记录都要管
区域与作业	7.3 办公室房间设施、7.5 抵御物理环境威胁、7.6 安全区域工作、7.7 桌面清理和屏幕清理	清桌清屏是低成本高收益项
设备与设施	7.8 设备安置和保护、7.9 场外资产、7.11 支持性设施、7.12 布线安全、7.13 设备维护	场外资产和远程工作直接挂钩
介质与退役	7.10 存储介质、7.14 设备的安全作废或再利用	作废不彻底等于数据泄漏

7.4 物理安全监视是新增项，考法通常是区分它和8.16 活动监视：一个盯人和场所，一个盯系统和行为；一个归物理主题，一个归技术主题。两者在事件调查时会合流——5.28 收集证据要同时调门禁记录和系统日志，时间基准还得靠8.17 时钟同步对齐，这条链路串起来就是一道完整的案例题。

7.7 桌面清理和屏幕清理看着琐碎，实际是物理层里最容易出不符合项的地方。标准要的不只是“下班关屏幕”，而是配套的清理习惯、锁屏策略和抽查机制。7.14 设备安全作废则要和8.10 信息删除、7.10 存储介质一起看：设备退役时数据有没有被彻底清除，靠的是这三项配合，只做格式化在审计里基本过不了。

3.3 人与物的交叉点：四张联动表

复习到中段最容易出现的问题是“按主题背得很熟，一到场景题就找不到该调哪条”。原因是没有把跨主题的联动关系建起来。下面四组是出现频率最高的交叉场景：

场景	涉及控制	联动逻辑
远程办公	6.7 + 7.9 + 8.1 + 8.20	制度、资产、终端、接入四条线同时覆盖
员工离职	6.5 + 5.11 + 5.18	责任终止、资产归还、权限回收同步做
事件上报	6.8 + 5.24—5.26	人报通道接事件管理流程
介质报废	7.10 + 7.14 + 8.10	介质管理、设备作废、信息删除三道确认

这四张表的价值在于答题时能快速定位“还漏了哪一侧”。比如问远程工作的控制措施，只答6.7最多拿一半分，把7.9的场外资产保护和8.1的终端要求带上，答案才完整。物理和人员这两块单独看都不难，难的是它们从来不是孤立生效的。

4. 技术控制34项：从终端加固到安全开发生命周期的重点

4.1 终端、身份与访问：8.1到8.5，加一个8.18

技术控制的前五项是一组，围绕“谁在什么设备上用什么凭据访问什么”展开。

控制	名称	复习重点
8.1	用户终端设备	终端配置基线、恶意软件防护、设备丢失处置
8.2	特殊访问权	特权账号的授予、使用、监控、回收
8.3	信息访问约束	按策略限制访问，和5.15是策略与执行的关系
8.4	获取源代码	访问源码的门槛、托管、第三方托管安排
8.5	安全身份认证	多因子、认证强度与风险匹配

8.2 特殊访问权和5.18 访问权限的边界是高频混淆点：5.18 管的是“授权这件事有没有流程、有没有定期复核”，8.2 管的是“特权账号技术上怎么控”——会话录屏、命令审计、双人复核，都是8.2的落地动作。把管理流程和技术手段分开记，两条就不会打架。

8.18 特权实用程序的使用单独排在后面，容易被忽略。它管的是那些能绕过正常控制的小工具，比如调试器、系统镜像工具。标准的要求是限制并监控这类工具的使用，而不是一刀切禁用——这一点在答题时经常被写成“禁止使用”，方向就偏了。

4.2 运行安全：8.6到8.17，一条从漏洞到日志的流水线

这一段的12项控制是一条运维流水线：容量（8.6）打底，恶意软件（8.7）和漏洞（8.8）防守，配置（8.9）定基线，数据出口三件套（8.10删除、8.11遮盖、8.12防泄漏）收口，备份（8.13）和冗余（8.14）兜底，日志（8.15）、监视（8.16）、时钟（8.17）负责看得见。

其中8.15、8.16、8.17经常被当成一项来复习，其实三者分工明确：8.15 日志负责“记录什么、留多久、怎么防篡改”，8.16 活动监视负责“从记录里发现异常行为”，8.17 时钟同步负责“让不同设备的记录能对得上时间”。取证场景下三者缺一不可——日志格式再规范，设备时间差十几分钟，事件时间线就拼不起来，这是实际应急里很常见的一类失败情况。

8.9 配置管理是新增项，考的是配置基线的建立、变更控制和定期核查。它和8.32 变更管理是一对：8.9 管“标准配置长什么样”，8.32 管“改动怎么走流程”。8.11 数据遮盖与8.12 防止数据泄漏的分工也值得记牢：遮盖是“让人看不到不该看的”，比如测试环境脱敏、界面掩码；防泄漏是“让数据出不去”，比如外发通道管控、水印、DLP。两者目标都是数据出口，但手段和适用场景不同。