ICS35.030 GB CCSL80 中华人民共和国国家标准 GB/T22081—2024/ISO/IEC27002:2022 代替GB/T22081—2016 网络安全技术 信息安全控制 CybersecuritytechnologyInformationsecuritycontrols (1S0/1EC27002:2022，Informationsecurity,cybersecurityand privacy protection-Information security controls, IDT) 2024-09-29发布 2025-04-01实施 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T22081—2024/ISO/IEC27002:2022 目 次 前言 V 引言 VI 1 范围 2 规范性引用文件 3 术语、定义和缩略语· 3.1 术语和定义 3.2 缩略语 文件结构 4.1 章条设置 4.2 主题和属性 4.3 控制的设计 组织控制 5.1 信息安全策略 5.2 信息安全角色和责任 10 5.3 职责分离 5.4 管理责任 12 5.5 与职能机构的联系…· 13 5.6 与特定相关方的联系 5.7 威胁情报 5.8 项目管理中的信息安全 15 5.9 信息及其他相关资产的清单 17 5.10 信息及其他相关资产的可接受使用 18 5.11 资产归还 19 5.12 信息分级 20 5.13 信息标记 21 5.14 信息传输 23 5.15 访间控制 25 5.16 身份管理 26 5.17 鉴别信息 27 5.18 访问权限 29 5.19 供应商关系中的信息安全 30 5.20 在供应商协议中强调信息安全 32 5.21 管理信息通信技术供应链中的信息安全 34 GB/T22081—2024/ISO/IEC27002:2022 5.22 供应商服务的监视、评审和变更管理 35 5.23 云服务使用的信息安全 37 5.24 信息安全事件管理规划和准备 38 5.25 信息安全事态的评估和决策 40 5.26 信息安全事件的响应 41 5.27 从信息安全事件中学习 42 5.28 证据收集 42 5.29 中断期间的信息安全 5.30 业务连续性的信息通信技术就绪 44 5.31 法律、法规、规章和合同要求 46 5.32 知识产权 47 5.33 记录的保护 8f 5.34 隐私和个人可识别信息保护 5.35 信息安全的独立评审 50 5.36 符合信息安全的策略、规则和标准· 51 5.37 文件化的操作规程 52 6人员控制 53 6.1 审查 53 6.2 任用条款和条件. 54 6.3 信息安全意识、教育和培训 55 6.4 违规处理过程… 57 6.5 任用终止或变更后的责任 58 6.6 保密或不泄露协议· 59 6.7 远程工作· 60 6.8 信息安全事态的报告 物理控制 7 62 7.1 物理安全边界 7.2 物理人口 7.3 办公室、房间和设施的安全保护 64 7.4 物理安全监视 65 7.5 物理和环境威胁防范 7.6 在安全区域工作 67 7.7 清理桌面和屏幕 68 7.8 设备安置和保护 69 7.9 组织场所外的资产安全 70 7.10 存储媒体 71 7.11 支持性设施 72 II GB/T22081—2024/ISO/IEC27002:2022 7.12 布缆安全 73 7.13 设备维护 74 7.14 设备的安全处置或重复使用 75 技术控制 76 8.1 用户终端设备· 76 8.2 特许访问权限…· 8.3 信息访问限制 79 8.4 源代码的访问 80 8.5 安全鉴别 8.6 容量管理 83 8.7 恶意软件防范 84 8.8 技术脆弱性管理 85 8.9 配置管理 88 8.10 信息删除 90 8.11 数据脱敏 91 8.12 数据防泄露 92 8.13 信息备份 93 8.14 信息处理设施的允余 95 8.15 日志 96 8.16 监视活动 98 8.17 时钟同步 100 8.18 特权实用程序的使用 100 8.19 运行系统软件的安装. 101 网络安全 102 8.20 8.21 网络服务的安全 104 8.22 网络隔离 105 8.23 网页过滤 106 8.24 密码技术的使用 106 8.25 安全开发生存周期· 108 8.26 应用程序安全要求· 109 8.27 系统安全架构和工程原则 111 8.28 安全编码 113 8.29 开发和验收中的安全测试 115 8.30 开发外包 116 8.31 开发、测试和生产环境的隔离 117 8.32 变更管理 118 8.33 测试信息 119 II GB/T22081—2024/ISO/IEC27002:2022 8.34 在审计测试中保护信息系统 120 附录A（资料性） 属性的使用 122 A.1 概述 122 A.2 组织视图 132 附录B（资料性） 本文件与GB/T22081一2016的对应关系 133 参考文献· 143 IV GB/T22081—2024/ISO/IEC27002:2022 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件代替GB/T22081一2016《信息技术安全技术信息安全控制实践指南》，与GB/T22081- 2016相比，除结构调整和编辑性改动外，主要技术变化如下： 对控制进行了合并、删除，同时也增加了新的控制，与GB/T22081一2016对应关系见附录B。 本文件等同采用ISO/IEC27002：2022《信息安全、网络安全和隐私保护信息安全控制》。 本文件做了下列最小限度的编辑性改动： 为与现有网络安全国家标准协调一致，标准名称调整为《网络安全技术信息安全控制》。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任， 本文件由全国网络安全标准化技术委员会（SAC/TC260)提出并归口。 本文件起草单位：北京赛西科技发展有限责任公司、中国合格评定国家认可中心、中电长城网际系 统应用有限公司、中国网络安全审查技术与认证中心、北京赛西认证有限责任公司、北京时代新威信息 限公司、黑龙江省网络空间研究中心、上海浦东发展银行股份有限公司信用卡中心、北京百度网讯科技 有限公司、亚信科技（成都）有限公司、工业互联网创新中心（上海）有限公司、阿里云计算有限公司、联想 （北京）有限公司、深信服科技股份有限公司、启明星辰信息技术集团股份有限公司、麒麟软件有限公司、 易航科技股份有限公司、华夏认证中心有限公司、北京数安行科技有限公司、上海观安信息技术股份有 限公司、网安联信息技术有限公司、北京天 融信网络安全技术有限公司、国家信息技术安全研究中心、北 京蓝象标准咨询服务有限公司、厦门美柚股份有限公 公司、长扬科技（北京）股份有限公司、浪潮电子信息 、 长 产业股份有限公司、中科信息安全共性技术国家工程研究中心有限公司、陕西省网络与信息安全测评中 心、美的集团股份有限公司、中能融合智慧科技有限公司、北京神州绿盟科技有限公司、华为技术有限公 司、北京时代亿信科技股份有限公司、北京源堡科技有限公司、国网新疆电力有限公司电力科学研究院、 北京快手科技有限公司。 本文件主要起草人：上官晓丽、王姣、王秉政、甘俊杰、付志高、闵京华、尤其、赵丽华、许玉娜、 王连强、陈冠直、朱雪峰、公伟、林阳荟晨、胡勇、赵玉洁、陈星、李锐、王寒生、铁锦程、李文清、郭建领、 廖双晓、秦峰、黄正艳、施辰琛、刘晨、杨天识、杨诏钧、赵翔、夏芳、刘玉红、谢江、阮懿宗、谢琴、朱松、 肖婷婷、张德保、黄鹏华、张亚京、高丽琴、胡建勋、杨帆、张亮亮、刘长川、程潞样、张喆、易天舒、俞晓昕、 顾俊、邹振婉、刘海军、袁莹颖、王昕。 本文件及其所代替文件的历次版本发布情况为： 2008年首次发布为GB/T22081一2008，2016年第一次修订； ——本次为第二次修订。