ISO/IEC 27001 差距分析
ISO/IEC 27001 差距分析能显示您的信息安全管理体系（ISMS）距离认证还有多远。本指南涵盖管理条款和附录 A 控制措施，并提供免费检查表和工具。
检查表为英文版。
01标准有哪些要求
ISO/IEC 27001:2022 需要评估两部分。第 4 至 10 章规定了管理体系要求：范围、领导作用、风险评估与处置、支持、运行、监视和改进。附录 A 列出了 93 项控制措施，分为四个主题：组织（37 项）、人员（8 项）、物理（14 项）和技术（34 项）。哪些控制措施适用，由您在适用性声明（SoA）中决定。
2024 年的修正案增加了一项要求：确定气候变化是否是与组织环境（第 4.1 条）和相关方（第 4.2 条）有关的问题。
02如何开展差距分析
- 确定 ISMS 的范围和边界。
- 逐项检查第 4–10 章的要求并附证据评级。
- 审查风险评估方法，以及是否有最新的风险登记册。
- 逐条梳理附录 A 控制措施，起草或更新 SoA。
- 把差距转化为有优先级的处置计划，明确负责人和日期。
03常见差距
- 6.1.2–6.1.3：没有可重复的风险评估，或风险未与控制措施关联。
- SoA 未说明排除控制措施的理由。
- 7.5：成文信息未受控。
- 9.2–9.3：没有内部审核方案或管理评审。
- 2022 版新增的附录 A 5.23（云服务）和 8.28（安全编码）未得到落实。
04为什么这里需要私密工具
安全差距分析本身就很敏感：它列出了您的薄弱环节。Paperwing 的差距评估在浏览器中运行，所有数据都保存在本地，您的发现绝不会上传。您可以导出报告和加密备份。
常见问题
检查表包含附录 A 吗？
检查表和在线工具都涵盖第 4–10 章和附录 A 的四个主题。如需逐项细化，请结合您的适用性声明进行。
附录 A 有多少项控制措施？
2022 版有 93 项，2013 版为 114 项。
ISO 27001 认证是强制性的吗？
一般不是，但越来越多的客户和合同要求具备该认证。