ISMS所要求的文件列表
信息安全管理体系标准所要求文件或记录包括：
方针目标文件 4.3.1 a)
范围文件 4.3.1 b)
风险评估方法 4.3.1 d）
风险评估报告 4.3.1 e）
风险处理计划 4.3.1 f）
控制措施有效性测量程序 4.3.1 g)
适用性声明 4.3.1 i)
文件控制程序 4.3.2
记录控制文件 4.3.3
ISMS内部审核程序 6
管理评审结果； 7.1
纠正措施程序 8.2；
预防措施程序 8.3
重要资产清单 A.7.1.1
资产使用规则 A.7.1.3
信息安全角色和职责 A.8.1.1
信息处理设施操作程序 A.10.1.1
信息访问控制策略 A.11.1.1
法律法规、合同符合程序 A.15.1.1
ISMS运行的记录表格类型：
可能影响ISMS有效性或绩效的措施和事件的记录 4.2.3 h
ISMS事故记录 4.3.3
员工资历记录 5.2.2
内部审核记录 6
管理评审记录 7.1
纠正措施结果记录 8.2
预防措施结果记录 8.3
故障记录 A.10.10.5
安全弱点记录 A.13.1.2
ISO27001所要求的文件列表
序号
文件名称
27001条款
备注
ISMS方针
4.3.1 a)
4.3.1 b)
A.5.1.1
A.5.1.2
A.6.1.1
确定组织ISMS的范围和边界
确定组织的信息安全方针
信息安全方针要形成文件
按计划的时间间隔、当发生重大变化时评审
管理者的承诺
风险评估程序
4.3.1 d）
4.3.1 e）
A.7.1.1
A.7.1.2
规定组织实施风险评估的步骤和方法
风险评估报告，记录评估程序的结果
重要资产清单，包括资产类型、格式、位置、备份信息、许可信息和业务价值。
包含对应的资产责任人，并注释
风险处理计划
4.3.1 f）
针对风险评估中高风险的处理计划
适用性声明
4.3.1 i)
对所选择的控制措施的说明
文件控制程序
4.3.2
对体系文件的控制程序
记录控制文件
4.3.3 A.15.1.3
对体系记录的控制程序
规定对组织记录的保护要求，以满足法律法规等的要求
内部审核程序6 规定体系的内审程序
管理评审程序
4.2.3 f) 7.1
4.2.3 b)
4.2.3 b)
A.6.1.8
规定体系的管理评审程序
考虑安全审核结果、事故、有效性测量结果、所有相关方的建议和反馈
考虑风险评估的评审、以及对残余风险和已标识的可接受风险的级别进行评审
组织管理信息安全的方法及其实施（例如信息安全的控制目标、控制措施、策略、过程和程序）的评审
纠正与预防措施程序
8.2
8.3
规定组织采取纠正和预防措施的程序
信息处理设施操作程序
（资产使用规则）
A.7.1.3
A.10.1.1
A.10.1.2
A.10.1.3
A.10.10.2
A.15.1.5
1规定资产的合格使用规则
2信息处理设施操作程序要形成文件
3规定信息处理设施操作系统和应用软件的变更管理
4 规定信息处理设施操作的责任分割
5信息处理设施监视程序的使用规则
6从法律方面要求考虑，禁止用户使用信息处理设施用于未授权的目的
信息安全角色和职责
A.8.1.1
A.6.1.2
A.6.1.3
A.6.1.1 A.8.2.1
分配人员角色和职责时应考虑有关信息安全协调的内容
高层管理者的职责
管理者应确保在其职责范围内的所有安全程序被正确地执行，以确保符合安全策略及标准。
访问控制策略
A.11.1.1
基于业务与安全要求建立文件化的访问控制策略要求，并规定评审的实施要求。
A.11.2
A.11.2.1
A.11.2.2
A.11.2.3
A.11.2.4
在访问控制策略中规定对用户访问管理的要求：
1规定用户的注册及注销程序
2分配和使用特殊权限的规定
3对用户口令分配的控制
4规定定期对用户的访问权进行复查