ICS35030

CCSL.80

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T22080—2025/ISO/IEC270012022

:

代替GB/T22080—2016

網(wǎng)絡(luò)安全技術(shù)信息安全管理體系要求

Cybersecuritytechnology—Informationsecuritymanagementsystems—

Requirements

ISO/IEC270012022Informationsecuritcbersecuritandrivac

(:,y,yypy

rotection—Informationsecuritmanaementsstems—ReuirementsIDT

pygyq,)

2025-06-30發(fā)布2026-01-01實(shí)施

國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布

國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T22080—2025/ISO/IEC270012022

:

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

組織環(huán)境

4…………………1

理解組織及其環(huán)境

4.1…………………1

理解相關(guān)方的需求和期望

4.2…………1

確定信息安全管理體系范圍

4.3………………………2

信息安全管理體系

4.4…………………2

領(lǐng)導(dǎo)

5………………………2

領(lǐng)導(dǎo)和承諾

5.1…………………………2

方針

5.2…………………2

組織的角色責(zé)任和權(quán)限

5.3、……………2

規(guī)劃

6………………………3

應(yīng)對(duì)風(fēng)險(xiǎn)和機(jī)會(huì)的措施

6.1……………3

信息安全目標(biāo)及其實(shí)現(xiàn)規(guī)劃

6.2………………………4

針對(duì)變更的規(guī)劃

6.3……………………4

支持

7………………………4

資源

7.1…………………4

能力

7.2…………………4

意識(shí)

7.3…………………5

溝通

7.4…………………5

文件化信息

7.5…………………………5

運(yùn)行

8………………………6

運(yùn)行規(guī)劃和控制

8.1……………………6

信息安全風(fēng)險(xiǎn)評(píng)估

8.2…………………6

信息安全風(fēng)險(xiǎn)處置

8.3…………………6

績(jī)效評(píng)價(jià)

9…………………6

監(jiān)視測(cè)量分析和評(píng)價(jià)

9.1、、……………6

內(nèi)部審核

9.2……………6

管理評(píng)審

9.3……………7

改進(jìn)

10………………………7

Ⅰ

GB/T22080—2025/ISO/IEC270012022

:

持續(xù)改進(jìn)

10.1……………7

不符合與糾正措施

10.2…………………7

附錄規(guī)范性信息安全控制參考

A()……………………9

參考文獻(xiàn)

……………………16

Ⅱ

GB/T22080—2025/ISO/IEC270012022

:

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

本文件代替信息技術(shù)安全技術(shù)信息安全管理體系要求與

GB/T22080—2016《》,GB/T22080—

相比除編輯性改動(dòng)外主要技術(shù)變化如下

2016,,:

增加了組織應(yīng)確定氣候變化是否是一個(gè)相關(guān)事項(xiàng)見

a)“”(4.1);

增加了組織應(yīng)確定哪些要求將通過(guò)信息安全管理體系來(lái)解決見

b)“”[4.2c)];

更改了信息安全風(fēng)險(xiǎn)處置中適用性聲明相關(guān)要求見年版的

c)“”[6.1.3d),20166.1.3d)];

增加了針對(duì)變更的規(guī)劃要求見

d)“”(6.3);

更改了信息安全控制參考包括對(duì)部分原有的控制進(jìn)行合并增加新的控制和調(diào)整控制的展示

e),、

方式見附錄年版的附錄

(A,2016A)。

本文件等同采用信息安全網(wǎng)絡(luò)安全和隱私保護(hù)信息安全管理體系要

ISO/IEC27001:2022《、

求

》。

本文件做了下列最小限度的編輯性改動(dòng)

:

為與我國(guó)技術(shù)標(biāo)準(zhǔn)體系協(xié)調(diào)標(biāo)準(zhǔn)名稱改為網(wǎng)絡(luò)安全技術(shù)信息安全管理體系要求

———,《》;

納入信息安全網(wǎng)絡(luò)安全和隱私保護(hù)信息安全管理體

———ISO/IEC27001:2022/Amd1:2024《、

系要求修正案與氣候行動(dòng)相關(guān)的變化并用雙垂線在對(duì)應(yīng)有變化的條款外側(cè)標(biāo)示

》1:,。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任

。。

本文件由全國(guó)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本文件起草單位中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院中國(guó)合格評(píng)定國(guó)家認(rèn)可中心中國(guó)網(wǎng)絡(luò)安全審查認(rèn)

:、、

證和市場(chǎng)監(jiān)管大數(shù)據(jù)中心北京安信天行科技有限公司中國(guó)信息安全測(cè)評(píng)中心黑龍江省網(wǎng)絡(luò)空間研

、、、

究中心中電長(zhǎng)城網(wǎng)際系統(tǒng)應(yīng)用有限公司山東省標(biāo)準(zhǔn)化研究院亞信科技成都有限公司深圳市騰訊

、、、()、

計(jì)算機(jī)系統(tǒng)有限公司南方電網(wǎng)數(shù)字電網(wǎng)集團(tuán)信息通信科技有限公司中國(guó)煙草總公司湖北省公司

、、、

北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司唯品會(huì)中國(guó)有限公司杭州安恒信息技術(shù)股份有限公司廣州賽

、()、、

寶認(rèn)證中心服務(wù)有限公司中國(guó)船級(jí)社質(zhì)量認(rèn)證有限公司北京賽西認(rèn)證有限責(zé)任公司啟明星辰信息

、、、

技術(shù)集團(tuán)股份有限公司北京中金云網(wǎng)科技有限公司浙江網(wǎng)商銀行股份有限公司北京時(shí)代新威信息

、、、

技術(shù)有限公司中國(guó)石油天然氣股份有限公司西北銷售分公司

、。

本文件主要起草人許玉娜付志高王秉政林陽(yáng)薈晨尤其魏立茹翟亞紅陳青民陸麗楊婧婧

:、、、、、、、、、、

王琰曲家興方舟白瑞楊霄璇閔京華白旭東王姣朱雪峰公偉廖雙曉劉震宇王瓊楊斯可

、、、、、、、、、、、、、、

寇增杰周禹王拓魯立孫毅趙麗華楊天識(shí)程燕史艷語(yǔ)王連強(qiáng)謝建林劉杰于慧超

、、、、、、、、、、、、。

本文件及其所代替文件的歷次版本發(fā)布情況為

:

年首次發(fā)布為年第一次修訂

———2008GB/T22080—2008,2016;

本次為第二次修訂

———。

Ⅲ

GB/T22080—2025/ISO/IEC270012022

:

引言

01概述

.

本文件提供了建立實(shí)現(xiàn)維護(hù)和持續(xù)改進(jìn)信息安全管理體系的要求采用信息安全管理體系是組

、、。

織的一項(xiàng)戰(zhàn)略性決策組織信息安全管理體系的建立和實(shí)現(xiàn)受組織的需求和目標(biāo)安全要求組織所采

。、、

用的過(guò)程規(guī)模和結(jié)構(gòu)的影響所有這些影響因素可能隨時(shí)間發(fā)生變化

、。。

信息安全管理體系通過(guò)應(yīng)用風(fēng)險(xiǎn)管理過(guò)程來(lái)保持信息的保密性完整性和可用性并為相關(guān)方樹立

、,

風(fēng)險(xiǎn)得到充分管理的信心

。

對(duì)組織而言重要的是要將信息安全管理體系整合到組織的過(guò)程和整體管理結(jié)構(gòu)中使之成為后者

,,

的一部分并在組織的過(guò)程信息系統(tǒng)和控制的設(shè)計(jì)中要考慮信息安全信息安全管理體系的實(shí)現(xiàn)程度

,、。

是要與組織的需求相符合

。

本文件能被內(nèi)部和外部各方用于評(píng)估組織的能力是否滿足自身的信息安全要求

。

本文件表述要求的順序并不反映各要求的重要性也不意味著實(shí)現(xiàn)這些要求時(shí)的順序條款編號(hào)

,。

僅是為了方便引用

。

描述了信息安全管理體系的概述和詞匯引用了信息安全管理體系標(biāo)準(zhǔn)族包括

ISO/IEC27000,(

和以及相關(guān)術(shù)語(yǔ)和定義

ISO/IEC27003、ISO/IEC27004ISO/IEC27005),。

02與其他管理體系標(biāo)準(zhǔn)的兼容性

.

本文件應(yīng)用附錄定義的高層結(jié)構(gòu)相同條款標(biāo)題相同文本通用

ISO/IECDirectives,Part1SL、、、

術(shù)語(yǔ)和核心定義因此維護(hù)了與其他采用附錄的管理體系標(biāo)準(zhǔn)的兼容性

,SL。

附錄中定義的通用途徑對(duì)于選擇運(yùn)行單一管理體系來(lái)滿足多個(gè)管理體系標(biāo)準(zhǔn)要求的組織是有

SL

用的

。

Ⅳ

GB/T22080—2025/ISO/IEC270012022

:

網(wǎng)絡(luò)安全技術(shù)信息安全管理體系要求

1范圍

本文件規(guī)定了在組織環(huán)境下建立實(shí)現(xiàn)維護(hù)和持續(xù)改進(jìn)信息安全管理體系的要求本文件還規(guī)定

、、。

了根據(jù)組織需求所剪裁的信息安全風(fēng)險(xiǎn)評(píng)估和處置的要求本文件規(guī)定的要求是通用的適用于各種

。,

類型規(guī)?；蛐再|(zhì)的組織當(dāng)組織聲稱符合本文件時(shí)不接受排除第章到第章中規(guī)定的任何要求

、。,410。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對(duì)應(yīng)的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息技術(shù)安全技術(shù)信息安全管理體系概述和詞匯

ISO/IEC27000(Information

technology