在上一篇文章中，越南亚瑞仕介绍了《2025年网络安全法》正式实施后，企业应主动开展的重点检查工作，包括信息系统、数据分类、访问权限、数据备份以及安全事件应急响应等内容。《网络安全法》（第116/2025/QH15号）于2025年12月10日正式颁布，并自2026年7月1日起正式施行。

然而，明确需要采取哪些措施，仅仅是信息安全管理的第一步。为了确保各项信息保护措施能够持续发挥作用，企业还需要建立统一的管理机制，明确职责分工，持续保存相关记录，并在技术、人员或业务模式发生变化时及时进行评估和调整。

正因如此，越来越多的企业开始建立符合 ISO/IEC 27001 要求的信息安全管理体系（ISMS）。下面，越南亚瑞仕将带您了解，该国际标准如何帮助企业系统化地管理网络安全相关要求。

延伸阅读：《2025年网络安全法将于2026年7月1日正式生效，企业应做好哪些准备？》

ISO/IEC 27001 如何帮助企业管理网络安全要求？

企业可能已经采取了多项措施，例如设置访问权限、备份数据、使用安全软件或开展员工培训。然而，如果这些工作彼此独立、缺乏统一管理，当系统、人员及潜在威胁不断变化时，其实施效果往往难以持续。

通过建立信息安全管理体系，ISO/IEC 27001 可帮助企业将上述活动整合为一套职责明确、运行有序并接受定期检查的管理机制。其作用主要体现在以下七个方面：

1. 明确企业需要保护的对象

在选择信息保护措施之前，企业首先需要明确信息安全管理体系的适用范围。通过这一步骤，可进一步确定哪些信息、系统、流程及相关方需要纳入管理。

适用范围可包括：

• 各部门及其业务流程；
• 客户数据、人事档案、财务信息及商业机密；
• 信息技术系统、软件及数据库；
• 服务器、存储设备及云平台；
• 相关办公地点、工厂或分支机构。

企业还需要识别所有拥有访问权限，或参与信息处理的用户、供应商及其他第三方。

当适用范围得到明确后，企业便可将资源集中投入到真正重要的信息资产上，同时降低因遗漏系统、数据或相关关系而产生风险的可能性。

2. 识别需要优先处理的风险

并非所有风险都具有相同的发生概率和影响程度。因此，企业需要识别应优先处理的问题，而不是分散资源、全面铺开各类安全措施。

根据 ISO/IEC 27001，组织应建立与自身运营环境相适应的风险评估方法，以分析各项风险发生的可能性、潜在后果，以及其对信息和业务运营造成的影响程度。

例如，在评估过程中可能发现以下问题：

• 离职员工的账号仍处于启用状态；
• 某个账号被授予超出实际工作需要的权限；
• 数据虽然已经备份，但从未测试过恢复能力；
• 重要信息被存储在个人设备中；
• 企业与供应商之间尚未建立明确的事件协同处理机制；
• 关键系统在发生中断时尚无备用方案。

根据评估结果，企业可依照既定标准选择适当的风险处置方式，例如降低、规避、转移或接受风险。

这种方法有助于企业将资源优先投入到可能造成重大影响的问题上，而不是等到事件发生后再被动处理。

3. 明确各岗位的职责与权限

信息安全并非 IT 部门单独承担的工作。许多安全事件都可能源于员工的数据使用方式、账号管理流程、供应商管理，或各部门之间缺乏有效协作。

ISO/IEC 27001 要求，信息安全管理体系相关的岗位职责、权限及责任必须得到明确规定，并传达到相关人员。

根据企业组织架构的不同，可参考以下职责分工：

• 管理层负责批准信息安全方针、目标及资源配置；
• IT 部门负责基础设施及技术控制措施的管理；
• 人力资源部门负责配合账号的开通、调整及注销；
• 各业务部门负责其创建、使用和管理的信息；
• 采购部门或法务部门负责监督供应商的信息安全要求；
• 全体员工应遵守信息安全制度，并及时报告异常情况。

明确职责分工，有助于避免职责重叠、管理遗漏或相互推诿。同时，也便于企业跟踪各项工作的落实情况，并评估执行效果。

4. 将安全要求转化为可执行的管理流程

如果“数据保护”“访问权限控制”或“安全事件响应”等要求仅停留在原则层面，往往难以真正落地实施。

ISO/IEC 27001 可帮助企业将这些要求细化为具体的管理制度、操作流程及工作指引，例如：

• 在什么情况下可以开通账号；
• 谁有权审批访问权限；
• 用户权限应在何时进行复核；
• 员工离职或调岗后，账号应如何注销；
• 哪些数据需要备份，以及备份频率是多少；
• 谁负责验证数据恢复能力；
• 员工发现疑似钓鱼邮件时，应向谁报告；
• 达到何种等级的安全事件需要上报管理层；
• 应在与供应商签订的合同中纳入哪些信息安全要求。

当各项执行方式都有明确规定后，员工将更容易理解并正确落实。企业也能够据此开展培训、监督执行，并确保各项控制措施在整个组织内得到一致实施。

5. 保留实施记录

信息保护工作不仅需要落实执行，还应保留相应的记录，以证明各项措施已经得到实施。

这些记录可包括：

• 账号及访问权限清单；
• 权限审核记录；
• 数据备份日志；
• 数据恢复测试结果；
• 培训及内部宣传记录；
• 安全事件报告及处理结果；
• 供应商评估记录；
• 内部审核结果；
• 管理评审记录；
• 纠正措施实施计划及执行结果。

妥善保存这些记录，有助于企业确认各项工作是否已经完整落实，明确责任人，并及时发现仍存在的不足。

这些记录也是企业开展内部审核、接受客户审核以及申请 ISO/IEC 27001 认证时的重要依据。

6. 评估控制措施的有效性

建立了管理流程，并不意味着这些流程已经得到正确执行，也不代表能够达到预期效果。

在实际运行过程中，企业可能会遇到以下情况：

• 已制定数据备份制度，但从未进行数据恢复测试；
• 已建立权限回收流程，但离职员工账号仍处于启用状态；
• 已开展培训，但员工仍不了解如何报告安全事件；
• 已制定供应商管理要求，但未按计划开展定期评估；
• 已发布相关管理制度，但未持续跟踪执行情况。

ISO/IEC 27001 要求企业持续对信息安全管理体系及各项控制措施进行监测、评估和评审，以确认其是否得到有效实施，并达到预期目标。

通过指标监测、定期检查、内部审核以及管理评审等活动，企业能够及时发现体系中的不符合项，并进一步分析原因，在问题造成更大影响之前采取纠正措施。

7. 在发生变化时持续维护和更新管理体系

信息安全风险并非一成不变，而是会随着企业经营活动的发展不断发生变化。

可能带来新的信息安全风险的变化包括：

• 部署新的软件或信息系统；
• 将数据迁移至云平台；
• 引入 AI、IoT 等新技术；
• 新增分支机构或生产基地；
• 人员招聘、岗位调整或组织架构变更；
• 更换供应商；
• 与客户或合作伙伴建立系统互联；
• 拓展新的市场或业务模式。

ISO/IEC 27001 要求企业持续维护并不断改进信息安全管理体系。当企业的业务活动、技术环境或相关方要求发生变化时，应及时重新评估管理范围、信息安全风险以及现有控制措施是否仍然适用。

持续更新管理体系，有助于避免体系因业务发展而落后，同时不断提升企业应对技术、人员及经营环境变化的能力。

越南亚瑞仕 ISO/IEC 27001 审核与认证服务

网络安全要求的管理，并不仅仅是增加安全软件或采购安全设备。企业更需要建立一套能够明确保护对象、识别风险优先级、落实职责分工、规范执行方式，并持续检查实施效果的管理机制。

通过建立信息安全管理体系，ISO/IEC 27001 可帮助企业将这些工作整合为一套统一的管理体系，使其与企业规模及运营环境相匹配。

越南亚瑞仕提供 ISO/IEC 27001 审核与认证服务，帮助企业验证信息安全管理体系是否符合国际标准要求，并确认体系的符合性及运行有效性。

了解更多： 越南亚瑞仕 ISO 27001 认证服务

延伸阅读： 企业获得 ISO 27001 认证的 8 大优势

常见问题解答