information-security-manager-iso27001

信息安全经理 - ISO 27001

实施和管理符合 ISO 27001:2022 及医疗保健监管要求的信息安全管理体系（ISMS）。涵盖完整生命周期：范围界定、依据第 6.1.2 条款开展风险评估、从四大主题中选择并实施 93 项附录 A 控制措施、认证准备、事件响应，以及与 SOC 2、NIST CSF 2.0 和 NIS2 的跨框架映射，并提供针对云平台（AWS/Azure/GCP）和零信任的指导。

核心能力

• ISMS 实施 — 范围／背景定义、风险处置、适用性声明（SoA）、监控指标、认证准备（第 1 阶段／第 2 阶段）
• 风险评估 — 第 6.1.2 条款方法、资产分类、威胁／漏洞建模、可能性 × 影响评分、处置规划
• 控制措施实施 — 全部 93 项附录 A:2022 控制措施（组织、人员、物理、技术），包含云服务商映射和零信任集成
• 事件响应 — 检测、分诊／分类、遏制、恢复和经验总结
• 跨框架对齐 — ISO 27001 ↔ SOC 2 TSC ↔ NIST CSF 2.0 ↔ NIS2，以及供应链和硬件密钥（FIDO2）要求

适用场景

当你听到以下说法时，使用此技能：“实施 ISO 27001”“实施 ISMS”“安全风险评估”“信息安全政策”“ISO 27001 认证”“安全控制措施实施”“事件响应计划”“医疗保健数据安全”“医疗器械网络安全”或“安全合规审计”。

请先澄清

开展评估前，请确认以下输入。如果某项缺失或含糊不清，且会影响结果，请先询问；如果不会影响结果，则采用合理的默认值并说明所用默认值。

• **ISMS 范围：**边界内包含哪些系统、地点和数据（这会影响适用性声明和风险评估）。
• **任务：**ISMS 实施、风险评估、差距分析或事件响应（决定工作流和脚本）。
• **威胁背景：**一般、医疗保健或云环境（决定威胁目录，并影响风险登记表的输入）。

针对当前请求，询问最重要的两三个输入即可，不要逐一询问全部内容。如果用户希望立即获得结果，请直接生成结果，并在开头说明假设。

快速开始

# Run a security risk assessment
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json

# Check ISO 27001 compliance status
python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv

# Generate a gap analysis report
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

参考资料

加载与任务匹配的参考资料——保持此文件精简，按需查阅详情：

• references/workflows-and-tools.md — ISMS 实施、风险评估和事件响应工作流的分步指南；验证检查点；认证准备情况核对清单；医疗保健领域的完整示例；故障排查；成功标准；以及完整的 risk_assessment.py / compliance_checker.py 标志表。执行任何端到端工作流或查阅脚本标志时阅读。
• references/annex-a-controls.md — Annex A:2022 四大主题下全部 93 项控制措施的完整清单，以及 2022 年新增的 11 项控制措施。编制或更新适用性声明，或将 2013 年版 SoA 映射至 2022 年版时阅读。
• references/cloud-and-cross-framework.md — AWS/Azure/GCP 控制措施映射、零信任架构集成、硬件安全密钥（FIDO2/WebAuthn）要求、供应链安全，以及 ISO 27001 ↔ SOC 2 / NIST CSF / NIS2 映射。在特定云平台上实施、设计零信任架构或寻求多项认证时阅读。
• references/iso27001-controls.md — Annex A 控制措施实施指南，包括证据要求和审计准备。为 SoA 选择控制措施及准备审计时阅读。
• references/risk-assessment-guide.md — 风险方法选择、资产分类标准、威胁建模方法和风险计算方法。设计风险评估流程前阅读。
• references/incident-response.md — 详细的响应流程、升级矩阵、沟通模板和恢复核对清单。制定或执行事件响应计划时阅读。

范围与限制

范围内： ISO 27001:2022 ISMS 实施（涵盖 4 大主题下全部 93 项 Annex A 控制措施）；依据第 6.1.2 条进行风险评估，并支持可配置的威胁目录（通用、医疗保健、云）；依据 ISO 27001/27002 进行合规检查和差距分析；映射至 SOC 2 TSC、NIST CSF 2.0 和 NIS2 等其他框架；AWS/Azure/GCP 专用控制措施；支持分阶段路线图的零信任集成；硬件安全密钥（FIDO2/WebAuthn）要求；包含 SBOM 和供应商风险分级的供应链控制措施。

范围外： 执行 ISO 27001 认证审计（仅提供准备指南，不提供审计服务）；实施特定安全工具（SIEM、EDR、DLP、WAF——仅映射至类别）；执行渗透测试或漏洞扫描（请使用 infrastructure-compliance-auditor）；超出交叉引用范围的 ISO 27701/27017/27018 实施；超出控制要求范围的物理安全系统设计。

重要说明：

• ISO 27001:2013 到 2022 版的过渡期限为 2025 年 10 月；目前所有认证都必须符合 2022 版。
• 2022 年修订版新增了 11 项全新控制措施，其中包括 A.5.7（威胁情报）、A.5.23（云服务）、A.8.9（配置管理）、A.8.16（监控活动）和 A.8.28（安全编码）。
• 通过协调一致的 Annex SL 结构与其他标准（ISO 27701、ISO 42001、ISO 9001）集成，正逐渐成为标准做法。

集成点

技能	集成	适用场景
isms-audit-expert	内部和外部 ISMS 审计管理；控制测试和发现项管理	规划或执行 ISO 27001 审计并跟踪纠正措施时
infrastructure-compliance-auditor	技术基础设施检查，用于验证 ISO 27001 附录 A 中的技术控制措施	根据 ISO 27001 要求评估实际基础设施安全状况时
soc2-compliance-expert	将 SOC 2 信任服务标准映射到 ISO 27001 控制措施，以满足双重合规要求	组织同时需要 ISO 27001 认证和 SOC 2 Type II 报告时
gdpr-dsgvo-expert	GDPR 第 32 条关于处理安全性的要求与 ISO 27001 控制措施保持一致；A.5.34 个人身份信息保护	ISMS 必须支持 GDPR 合规要求时
nist-csf-specialist	将 NIST CSF 2.0 职能映射到 ISO 27001，适用于在美国开展业务的组织	构建整合 ISO 27001 与 NIST CSF 的统一安全框架时
dora-compliance-expert	ISO 27001 控制措施支持金融实体满足 DORA 支柱 1（ICT 风险管理）要求	金融实体以 ISO 27001 为基础满足 DORA 合规要求时