简介：面向信息安全从业者、ISO 27001 体系咨询顾问与合规审计人员的 ISO/IEC 27002:2022 中文试译稿，围绕信息安全、网络安全与隐私保护场景下的控制措施展开，可用于体系认证准备、控制项梳理和内部培训。压缩包仅含 1 个 PDF 文件，大小约 44.41MB，正文覆盖引言、术语与缩写、标准结构、组织控制等章节，并讨论控制目标、生命周期考虑因素、相关国际标准及组织个性化指南，方便按目录查阅并与英文原版对照。已有 351 人学习下载。读者可从中掌握 2022 版的更新脉络，把控制要求映射到信息安全管理体系认证、数据安全治理和制度修订中，也可作为咨询项目中的术语参考与培训底稿；试译稿保留原文件结构，目录层级清晰，适合逐章研读或抽取控制清单。
1. 先看地图：27002 信息安全管理体系到底长什么样
很多人第一次翻 27002 信息安全管理体系，会以为它是一本控制措施清单，结果翻两页就迷失在 93 条编号里。它其实更像一张分层地图：最上层是 4 大控制主题，中间是 93 项控制条款，底层是每条控制背后的属性标签和实施指南。2022 年 2 月这次改版，把原来按 14 个域铺开的写法重组成组织、人员、物理、技术四块，编号从 5 打到 8，附录 A 再按组织视图做一次横向索引。适合谁读：正在做 ISMS 落地和认证的人、备考 CISSP/CISP 的人、需要拿国际标准对照数据安全治理框架的人。读法建议先骨架后条款，先属性后细节，别一上来就逐条背。
2. 标准骨架：4 大控制主题与 93 项控制的组织逻辑
2.1 从 14 域到 4 主题：2022 版改了什么
上一版按 14 个域组织，条目更多、颗粒更细，读起来像一本按部门职责切分的制度汇编。2022 版把 14 个域压成 4 大主题、93 项控制，编号规则也换了：5 开头是组织控制，6 开头是人员控制，7 开头是物理控制，8 开头是技术控制。这个改动看着只是重新分堆，实际影响很大。原来一条控制只归一个域，现在一条控制可以同时带多个属性标签，跨主题引用变得常见。比如「远程工作」放在人员控制 6.7，但它同时牵涉物理层的场外资产 7.9 和技术层的终端设备 8.1；再比如「云服务的信息安全」放在组织控制 5.23，落地时却要落到 8.20 网络安全和 8.24 密码学使用上。复习时如果还按老域名去找，很容易漏掉这种跨主题的连线。
新增条款集中在几个方向：威胁情报 5.7、身份管理 5.16、数据遮盖 8.11、防止数据泄漏 8.12、活动监视 8.16、web 过滤 8.23、安全开发生命周期 8.25、信息删除 8.10、配置管理 8.9、物理安全监视 7.4。这些条款的共同点是把原来散落在多个域里的做法收拢成一个独立控制项，读的时候要留意它和相邻条款的边界。比如 8.10 信息删除和 7.14 设备的安全作废或再利用都涉及数据清除，但前者管数据生命周期，后者管设备退役，答题时写错位置就丢分。
2.2 组织控制 37 项：治理、资产、供应商、事件、合规五条线
组织控制是四块里最大的一块，5.1 到 5.37 共 37 项。硬背编号没意义，按功能分成五条线来记更稳。
| 线条 | 条款范围 | 核心内容 | 记忆锚点 |
|---|---|---|---|
| 治理与职责 | 5.1-5.8 | 策略、角色职责、职责分离、管理层责任、联系、威胁情报、项目管理 | 谁定规矩、谁负责、跟谁联系 |
| 资产 | 5.9-5.14 | 资产清单、可接受使用、资产归还、分类、标签、传递 | 家底清、用得对、还得回、分得清、贴得对、传得稳 |
| 访问 | 5.15-5.18 | 访问控制、身份管理、鉴别信息、访问权限 | 门、人、凭证、钥匙 |
| 供应商与云 | 5.19-5.23 | 供方关系、协议、ICT 供应链、监视评审、云服务 | 关系、协议、链条、盯住、上云 |
| 事件与连续性 | 5.24-5.30 | 事件规划、评估决策、应对、教训、证据、中断、ICT 连续性 | 预案、判断、处置、复盘、取证、扛住、恢复 |
| 合规 | 5.31-5.37 | 法律法规、知识产权、记录保护、PII、独立评审、遵从性、文件化程序 | 外部要求加内部规矩 |
这张表不是让你背，而是让你在翻目录时知道自己在哪条线上。看 5.23 云服务，就该想到它前面是 5.19-5.22 的供应商链条，后面是 8.20-8.22 的网络条款，位置感有了，答题和落地都不容易跑偏。5.7 威胁情报单独成条最值得注意，它把「知道对手在干什么」从可选项变成了正式控制，做威胁建模时可以直接引用。
2.3 属性视图：控制类型、信息安全属性、网络安全概念、运行能力
2022 版最容易被低估的变化是给每条控制打属性标签，写在 4.2 和附录 A 里。属性分四组：控制类型（预防、检测、纠正）、信息安全属性（机密性、完整性、可用性）、网络安全概念（识别、保护、检测、响应、恢复）、运行能力（若干细分能力）。这套标签的价值在做 Gap 分析的时候最明显。
传统做法是逐条对控制，容易漏掉「检测类」和「纠正类」的覆盖。按属性一筛，问题马上暴露：预防类控制一大堆，检测类只有日志、监视、漏洞管理那几条，纠正类更少。某实验室做内部演练时就踩过这个坑，制度文件写得很全，真出事时发现没有一条控制负责「纠正」，只能临时补流程。复习时把属性当第二套索引，比死记编号有用得多。
提示：属性标签在附录 A.1 有总表，A.2 按组织视图再排一次，两个视图对着看，能看出哪些条款承担了多重角色。
还有一个结构细节值得记住：每条控制按固定版式写，先是一句控制陈述，接着是目的，然后是实施指南，最后是其他信息。控制陈述回答要不要做，目的回答为什么做，指南回答怎么做，其他信息是参考。答题时按这个顺序拆，比整段背效率高。看 5.24 事件管理的规划与准备，控制陈述一句话，目的讲为什么要提前准备，指南里列出预案要素、演练频率、角色分工，其他信息给交叉引用。知道这个版式，翻任何一条都能快速抓到重点。
3. 人员与物理控制：8 项与 14 项里最容易背混的边界
3.1 人员控制 8 项：一条雇佣全周期的线
6.1 到 6.8 共 8 项，数量少但考试出镜率高。按时间轴串最省力：入职前（6.1 审查、6.2 雇佣条款和条件）、在职（6.3 意识教育培训、6.4 纪律程序、6.6 保密或不披露协议、6.8 报告信息安全事态）、离职或变更（6.5 终止或变更后的责任），外加贯穿全程的 6.7 远程工作。
审查 6.1 的重点不是查不查，而是查到什么程度：岗位敏感度决定审查深度，背景调查、资质核验、参考人核实要跟岗位风险匹配。雇佣条款 6.2 的重点是把信息安全责任写进合同，而不是口头约定。意识教育 6.3 是审计必看项，光有培训记录不够，还要有考核、更新周期和针对性内容，开发岗和财务岗的培训重点不该是同一套课件。纪律程序 6.4 容易被当成 HR 的事，其实它和 5.24-5.28 的事件管理是连着的：员工违规既是纪律问题也是安全事件，两边流程要能对上。
6.5 的坑在于责任不随离职消失，保密义务、访问权限回收、资产归还都要有清单，而且清单要能证明执行过。6.7 远程工作是新版单列的控制，覆盖的不仅是技术接入，还有远程环境下的物理安全、桌面清理、家庭网络风险。很多组织只写了接入方式，漏了工作环境要求，检查时一问就露底。6.8 报告事态看着简单，实际最难落地，因为要解决员工「报了会不会担责」的顾虑，配套的免责和激励设计比流程本身更重要。
3.2 物理控制 14 项：周界、区域、设备、介质四层
7.1 到 7.14 共 14 项，按空间层次从外到内记最稳。第一层是周界和入口：7.1 物理安全周界、7.2 物理入口。第二层是区域内部：7.3 保护办公室房间设施、7.4 物理安全监视、7.5 抵御物理和环境威胁、7.6 在安全区域工作、7.7 桌面清理和屏幕清理。第三层是设备：7.8 设备安置和保护、7.9 场外资产的安全、7.13 设备维护、7.14 设备的安全作废或再利用。第四层是支撑与介质：7.10 存储介质、7.11 支持性设施、7.12 布线安全。
这样分层的价值在答题时体现得最明显。题目问访客管理属于哪条，你能快速定位到 7.2 物理入口；问报废电脑怎么处理，定位到 7.14 而不是 7.10。7.10 管的是介质本身的存放、运输、销毁，7.14 管的是设备退役时的数据清除和再利用，两条经常被混。7.11 支持性设施容易被忽略，它管的是供电、空调、消防这些看不见但停不得的东西，业务连续性 5.29-5.30 能不能成立，很大程度上取决于这一条落没落地。
7.4 物理安全监视和 8.16 活动监视也经常被当成同一件事，其实前者看的是人和空间，后者看的是系统和行为。7.4 的产出是监控录像、门禁记录、巡检日志，实施主体通常是行政和安保；8.16 的产出是系统日志、流量告警、异常行为分析，实施主体是 IT 和安全运营。考试里问监控覆盖，先分清问的是哪一层，再往下答。
3.3 两个高频混淆点：远程工作与场外资产、桌面清理与屏幕清理
| 对比项 | 6.7 远程工作 | 7.9 场外资产 |
|---|---|---|
| 管理对象 | 人加工作方式 | 设备加资产 |
| 核心问题 | 远程环境下怎么保证安全习惯和接入合规 | 设备离开场所后怎么防丢防泄 |
| 常见误用 | 只写接入方式，不写物理环境和桌面清理 | 只写资产登记，不写使用环境和归还 |
| 交叉点 | 远程办公设备就是场外资产，两条要一起看 | 同左 |
7.7 桌面清理和屏幕清理也常被合并成一条记，实际是两个动作：桌面清理管的是纸质文件和可移动介质离桌时的收纳，屏幕清理管的是锁屏和会话超时。前者靠制度和高频检查，后者靠技术策略强制。复习时把这两条拆开，答题时就不会只写锁屏而漏掉纸质文件。反过来，只写制度不写技术强制，也会被追问怎么保证执行。
4. 技术控制：34 项控制的主干与复习参数
4.1 身份与访问：8.2、8.3、8.5 各管什么
技术控制从 8.1 到 8.34 共 34 项，是四块里最贴近日常运维的。先看身份与访问这条线。8.2 特殊访问权管的是特权账号，重点是有没有必要给、给了怎么监控、用完怎么收；8.3 信息访问约束管的是访问控制策略本身，按需知和需用划分；8.5 安全身份认证管的是认证强度和认证方式，口令、多因素、生物特征都在它的范围里。三条控制不是并列关系，而是从权限怎么给到访问怎么限再到身份怎么验的递进。
往上还有组织层的 5.15-5.18：访问控制策略、身份管理、鉴别信息、访问权限。技术层的 8.2、8.3、8.5 是组织层策略的落地手段，复习时把两层对照着看，能避免只背技术条款、答不出管理要求的问题。
| 条款 | 管什么 | 典型落地 | 常见误答 |
|---|---|---|---|
| 8.2 特殊访问权 | 特权账号的授予、使用、监控、回收 | 特权账号管理系统、双人复核 | 只写最小权限，不写特权账号专项管控 |
| 8.3 信息访问约束 | 按策略限制信息和功能的访问 | RBAC、ABAC、需知原则 | 把 8.3 和 5.15 混成一条 |
| 8.5 安全身份认证 | 认证强度、方式、流程 | MFA、口令策略、认证协议 | 只写口令复杂度，漏掉多因素 |
8.4 获取源代码也归在这条线附近，它管的是组织对源代码的获取权，和 8.28 安全编码、8.30 外包开发有交叉，但落点是资产控制而不是开发流程。复习时把它当成访问控制的延伸来看，比孤立背定义更容易理解。
4.2 漏洞、配置、日志、监视：8.8、8.9、8.15、8.16 的闭环
这四条要连起来看，单看每条都像常识，连起来才是一套闭环。8.9 配置管理先定基线，8.8 技术漏洞管理在基线上找偏差，8.15 日志记录把偏差和操作留痕，8.16 活动监视从日志里发现异常。少任何一环，闭环都断。只做漏洞扫描不做配置基线，扫出来的结果没有参照；只记日志不做监视，日志就是黑匣子，出事才翻；只做监视不调时钟，日志时间对不上，取证直接失效，所以 8.17 时钟同步是这组控制的前置条件。
复习时把这四条画成一条线：基线、发现、记录、发现异常、处置，比单独背定义好记。某公司的内部演练里就出过这个问题，漏洞扫描、日志平台、告警系统三套工具各买各的，告警对不上资产编号，排查时全靠人肉拼，后来补了配置基线做统一资产标识才顺过来。这类血泪经验说明一件事：技术控制考的不是单点工具，而是工具之间的数据能不能对上。
8.14 信息处理设备的冗余和 8.13 信息备份也常被放在一起问。备份解决的是数据可恢复，冗余解决的是服务不中断，两者目标不同。答业务连续性题时，先看问的是 RTO 还是 RPO，再决定往哪条上靠。
4.3 网络与密码学：8.20 到 8.24 的边界
8.20 网络安全管的是网络层面的防护能力，分段、边界、入侵检测都算；8.21 网络服务的安全性管的是网络服务本身的安全配置和服务水平；8.22 网络隔离管的是把不同安全级别的区域隔开；8.23 web 过滤管的是出站访问的内容控制；8.24 密码学的使用管的是密码学策略和密钥管理，不是选哪个算法。这条最容易被误读，很多人一看密码学就以为是加密算法选型，其实它讲的是什么时候该用、用了怎么管密钥、合规边界在哪。
8.24 和 5.17 鉴别信息、8.5 安全身份认证有交叉，但落点不同：5.17 管凭证的分配和保管，8.5 管认证过程，8.24 管密码学机制本身的策略。复习时按策略、凭证、认证、机制四层分开记，遇到交叉题就不会把三层写成一段。
8.22 网络隔离和 5.22 供方服务的监视评审也有隐性关联：外部服务接入内部网络时，隔离策略往往是评审的一项内容。答题时能把这两条串起来，说明你理解的是体系而不是条款。
4.4 安全开发：8.25 到 8.34 的一条流水线
这十条按开发流程串：8.25 安全开发生命周期定整体框架，8.26 应用安全要求管需求阶段，8.27 安全系统架构和工程原理管设计，8.28 安全编码管实现，8.29 开发和验收中的安全性测试管测试，8.31 开发测试生产环境分离管环境，8.32 变更管理管上线后的变化，8.33 测试信息管测试数据，8.34 审计测试期间信息系统的保护管审计场景，8.30 外包开发管外部团队。顺序基本就是需求、设计、编码、测试、环境、变更，外包和审计是两条旁支。
容易漏的是 8.33 和 8.34。8.33 管测试数据不能用生产数据，用就要脱敏；8.34 管审计人员做测试时不能影响生产系统。这两条在隐私合规和审计场景里都是高频检查项，但平时复习容易跳过。把这条流水线记住，再回头看 5.8 项目管理中的信息安全，会发现 5.8 是项目层面的要求，8.25-8.34 是开发层面的落地，两者是上下位关系而不是重复。
技术控制里还有几项容易孤立着背：8.1 用户终端设备、8.6 容量管理、8.7 防范恶意软件、8.10 信息删除、8.11 数据遮盖、8.12 防止数据泄漏、8.18 特权实用程序的使用、8.19 在操作系统上安装软件。这些条款单看都懂，串起来其实是终端、数据、可用性三条支线。8.1、8.7、8.18、8.19 归终端和系统加固；8.10、8.11、8.12 归数据生命周期；8.6、8.13、8.14 归可用性。按支线记，比按编号顺序背更不容易断片。
5. 易错点：条款映射和版本迁移里最容易翻车的五处
5.1 易漏点一：把 27001 附录 A 当成 27002 的目录
易漏点在哪：拿着 27001 附录 A 的 93 条要求当复习提纲，以为 27002 只是把同样条目展开讲一遍，结果做题时只会写要求不会写做法。
为什么会漏：两者条款号一一对应，看起来像同一份文件的两个版本，实际性质不同。27001 附录 A 是认证要求，回答要不要做；27002 是实施指南，回答怎么做、做到什么程度。目录长得像，定位却不一样。
怎么补：先读 27001 附录 A 建立要求清单，再逐条到 27002 找指南；做映射表时把要求条款和指南条款分两列，不要合并。复习时强迫自己每条都回答两个问题：这条要求是什么，实施细节在 27002 的哪一节。
5.2 易漏点二：新旧条款号对不上导致追溯断层
易漏点在哪：拿上一版的风险评估表、内审检查表直接套 2022 版编号，旧表里的域编号在新版里找不到对应位置，改着改着就乱了。
为什么会漏：2022 版把 14 个域重组成 4 主题，编号从 5 开始重排，旧文档里的引用全部失效。很多人只改封面版本号，不改正文引用，审计时一对就露馅。
怎么补：建一张新旧映射表，旧号、新号、控制名称三列，迁移时逐条核对；历史文档保留旧号并注明版本，不要直接改号。更稳的做法是新旧两套编号并存一个过渡期，等所有引用都更新完再删旧列。
5.3 易漏点三：属性标签被当成装饰
易漏点在哪：只看条款正文，跳过附录 A 的属性标注，觉得那是给
本文还有配套的精品资源，点击获取
