ISO27001信息安全管理标准，风险评估报告写到什么程度算合格

ISO27001信息安全管理标准现行版本是ISO/IEC 27001:2022，配套控制措施在附录A里，共四类93项。企业问ISO27001认证怎么办理，答案往往不在条文里，而在风险评估做得实不实。互联网、软件、数据处理和金融科技企业做这套体系，多是为了客户安全问卷、招标条件和数据合规要求。杭州、深圳这类互联网企业密集的城市，认证需求一直比较集中。

标准第6.1.2条要求做信息安全风险评估，第6.1.3条要求做风险处置，并形成适用性声明。风险评估不是写一份厚厚的报告就完事，要能看出评了什么、怎么评、评完怎么处理。

做了六年企业服务，风险评估报告最常见的毛病是只有结论没有过程。报告里写「风险等级为中等」，但资产清单、威胁来源、脆弱性和评分方法都找不到，审核员没法判断这个「中等」是怎么来的。

风险评估报告写到什么程度算合格，看的是能不能复盘。见过一份报告，风险等级写中等，后面附了资产清单和威胁清单，可两者之间没有对应关系：哪台服务器承载哪个业务、哪个业务对应哪类威胁、现有控制措施降低了多少可能性，一条线都串不起来。合格的写法是把资产、威胁、脆弱性、现有控制、可能性、影响、等级排成一张表，每个等级后面写清判断理由，换个人看也能得出同样的结论。这类纠结在中小企业里特别常见，安全投入看得见的是钱，看不见的是被攻击的概率，写报告的人容易把两件事混在一起，等级就定得偏主观，评审时怎么解释都显得勉强。

风险评估报告写到什么程度算合格？

至少要能回答四个问题：保护什么资产、资产面临什么威胁、自身有什么脆弱性、一旦出事影响多大。四个要素逐项落到表里，再给出一致的评分方法和风险等级，报告才站得住。

报告要和资产清单、风险处置计划、适用性声明形成对应关系。报告里列的高风险项，处置计划里要有着落，适用性声明里要说明控制措施选没选、为什么。

风险评估的四个要素是什么？

评分方法可以用矩阵法，也可以按可能性乘影响。方法一旦定下来，全公司统一用，不能这个部门一套、那个部门一套。

风险处置计划怎么落地？

处置方式有四种：降低、转移、规避、接受。选降低的要写清控制措施、责任人、预算和完成时间；选接受的要说明接受理由和残余风险。计划不是写完就归档，要按季度跟踪。

适用性声明怎么对应？

附录A的93项控制措施逐项说明是否适用。不适用的要写理由，适用的要对应到体系文件或实际做法。声明和风险评估结果要能对上，高风险项却没有对应控制，审核时会被追问。

审核会抽查什么？

• 资产清单是否完整，是否有责任人

• 风险评估记录是否覆盖主要业务系统

• 风险处置计划是否有跟踪记录

• 适用性声明与体系文件是否一致

• 访问控制、日志、备份、事件响应是否有实际记录

资产清单怎么建才完整？

资产不只服务器和电脑。信息资产包括数据库、业务系统、源代码、客户数据、合同档案，也包括人员和办公场所。按业务线梳理，再按信息类别归类，漏项会少很多。

每项资产要有责任人、存放位置、访问范围和重要程度。重要程度按保密性、完整性和可用性三个方向评，评完再进入风险评估。

资产清单不是建完就放着。系统上线、下线、迁移或外包时同步更新，版本号和更新时间写清楚，审核时能看出清单是活的。

• 按业务线梳理，再按信息类别归类

• 每项资产有责任人和访问范围

• 按三个方向评重要程度

• 系统变化时同步更新清单

风险评估要和业务系统对应。核心交易系统、客户数据库、办公系统的重要程度不同，评估深度也不一样。把主要系统逐个过一遍，比做一张笼统的总表更有说服力。

风险处置计划要有预算和责任人。只写「加强管理」「提高意识」没法跟踪，写清上什么设备、改什么配置、谁负责、什么时候完成，才算落地。

风险评估的周期可以是一年一次，也可以按项目或系统上线触发。新系统上线、业务模式变化、外包范围扩大时，重新评估一次，比等到年度评审更及时。

评估结果要向管理层报告，高风险项要有处置决定和资源安排。报告写完归档不算结束，处置进度要跟踪，残余风险要有人签字确认。

评估记录要能追溯到具体版本。系统版本、资产编号、评估日期和参与人员写清楚，后续系统升级后能对应到上一次评估，不会出现新旧混用。

常见问题

问：风险评估必须每年做一次吗？

答：标准要求按策划的时间间隔做，多数企业一年一次，业务、系统或威胁环境发生重大变化时要重新评估，评估记录要保留。

问：小公司也要做93项控制吗？

答：不要求全部适用。通过适用性声明说明取舍，不适用的写清理由，关键是风险和控制的对应关系能讲通。

问：风险评估报告能给客户看吗？

答：可以提供摘要或脱敏版本，完整报告涉及资产和漏洞细节，对外提供前要做脱敏处理，避免暴露安全弱点。

相关资质和办理指南可以继续看：

ISO27001信息安全管理标准，IDC许可证，ISO9001质量管理体系标准，页面之间按业务方向做了对应跳转。