Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CAN/CSA-ISO/IEC 17592:2005 信息安全管理体系实施指南
基于ISO/IEC标准的ISMS实施框架与操作方法
1. 标准概况与适用范围
CAN/CSA-ISO/IEC 17592:2005《信息技术—安全技术—信息安全管理体系实施指南》是由加拿大标准协会（CSA）采纳的等同国家标准，其原版为国际标准ISO/IEC 17592:2005。该标准为各类组织提供了建立、实施、运行、监视、评审、维护和改进信息安全管理体系（ISMS）的全面实施指南。它并不增加新的要求，而是对ISO/IEC 27001:2005（信息安全管理体系要求）中规定的Plan-Do-Check-Act (PDCA)过程模型进行细化，通过具体步骤和最佳实践帮助组织把标准要求落地。
本标准适用于任何规模、类型和性质的组织，无论其是否已部署正式的信息安全体系。尤其在引入信息安全管理的起始阶段，实施指南能有效降低规划漏洞，提升管理体系的成熟度。需注意，尽管标准本身不具有强制性，但若组织声称符合ISO/IEC 27001，则必须遵循其中引用的实施指南所定义的过程。强制性条款：适用性声明（SoA）必须清晰记录风险处理选择，并作为ISMS合规性的核心证据。
2. 主要技术内容与要求
2.1 核心结构：基于PDCA的过程方法
标准将ISMS生命周期划分为四个阶段，每个阶段均提出了详细的工作流程与输出要求。下表总结了各阶段的关键活动与可交付成果。
| 阶段 | 关键活动 | 主要输出/记录 |
|---|---|---|
| 规划 (Plan) | 确定ISMS范围和边界；定义信息安全方针；实施风险评估；选择风险处理方案与控制目标；准备适用性声明 | 风险评估报告；风险处理计划；适用性声明 (SoA)；信息安全方针文件 |
| 实施 (Do) | 执行风险处理计划；实施选定的控制措施（来自ISO/IEC 27002）；建立文档和培训；运行ISMS | 控制实施记录；培训记录；操作程序；事件处理预案 |
| 检查 (Check) | 监视ISMS运行；进行内部审核；定期管理评审；测量控制有效性 | 内部审核报告；管理评审报告；测量指标记录；不符合项报告 |
| 处置 (Act) | 采取纠正与预防措施；持续改进ISMS；更新风险评估和相关文件 | 纠正措施记录；改进计划；更新后的ISMS文件 |
2.2 风险评估与处理
标准强调风险评估是实施ISMS的基石，要求组织采用系统化的方法识别资产、威胁、脆弱性和影响。实施指南推荐了具体步骤：包括建立风险评估准则、识别资产并进行分类、评估威胁和脆弱性发生的可能性与影响、计算风险等级。在风险处理方面，提供了四种基本选项（降低、规避、转移、接受）的应用指导。
常见误区：许多组织在风险评估中仅关注技术层面的控制，忽略了流程和人员因素。实施指南提醒应全面考虑业务环境、法律合规和利益相关方的期望。
2.3 适用性声明 (SoA)
适用性声明是ISMS的核心输出文件，它必须依据风险评估的结果，列出所有适用的控制目标和控制措施，并明确说明是否采用以及采用的理由。CAN/CSA-ISO/IEC 17592:2005提供了编写SoA的结构和内容模板，确保审计方能够清晰了解组织的风险决策逻辑。
实用提示：在编写SoA时，可将ISO/IEC 27002的附件A作为控制措施清单的参考来源，但也可根据组织实际情况添加额外的控制措施。
3. 实施/应用要点
3.1 高层管理承诺与资源保障
成功的ISMS实施必须获得最高管理层的可见支持。标准要求管理层提供必要的资源、确立信息安全方针、指定ISMS管理者代表，并定期参与管理评审。
实施益处：透过管理层的承诺，信息安全意识能从战略层面渗透到每个业务环节，大幅减少因人为疏忽导致的安全事件。
3.2 文档化与记录控制
实施指南对文档提出了“按需”而非“繁琐”的原则。组织应保留证明ISMS过程合规的记录，包括风险评估、培训、审核、管理评审等。文件控制应遵循有效性、可追溯性和保密性要求。
安全关键要求：所有与风险管理相关的重要决策（如接受风险的批准）必须有正式的签字或电子授权记录，未经授权的风险接受将导致体系失效。
3.3 监视、测量与改进
组织应定义用于监视ISMS有效性以及控制措施性能的指标。标准鼓励使用ISO/IEC 27004提供的测量框架。通过内部审核和管理评审，及时发现偏差并驱动持续改进。
4. 与其他标准的关系
CAN/CSA-ISO/IEC 17592:2005是ISO/IEC 27000系列标准族的重要组成部分，与以下标准存在直接关联：
- ISO/IEC 27001:2005 — 要求标准；本实施指南为其提供具体操作指导，两者配套使用。
- ISO/IEC 27002:2005 (前身ISO/IEC 17799) — 控制措施实践准则；实施指南在“Do”阶段引用该标准中的详细控制措施。
- ISO/IEC 27004:2009 (后取代) — 测量与指标；实施指南鼓励组织建立测量体系以验证ISMS绩效。
- ISO/IEC 27005:2008 — 信息安全风险管理；与标准中的风险评估与处理阶段深度融合。
需注意，自2010年起ISO/IEC 27003:2010已取代本实施指南作为主要指导文件。但加拿大标准协会在2026年仍保留CAN/CSA-ISO/IEC 17592:2005作为可选择的等效国家标准，尤其适用于基于早期ISMS版本（如ISO/IEC 27001:2005）运行的组织。
问：CAN/CSA-ISO/IEC 17592:2005是否必须与ISO/IEC 27001同时使用？
答：不是强制性的，但强烈建议两者配套使用。27001提供“要做什么”，而17592给出“怎么做”的解释。单独使用17592无法实现合规性，但能帮助组织为正式认证做准备。
答：不是强制性的，但强烈建议两者配套使用。27001提供“要做什么”，而17592给出“怎么做”的解释。单独使用17592无法实现合规性，但能帮助组织为正式认证做准备。
问：2026年实施该标准是否意味着组织必须完全重建ISMS？
答：不需要。标准基于PDCA过程框架，现有体系若已覆盖风险管理、控制和评审环节，仅需对照本标准调整流程细节和文档格式，通常可平稳过渡。
答：不需要。标准基于PDCA过程框架，现有体系若已覆盖风险管理、控制和评审环节，仅需对照本标准调整流程细节和文档格式，通常可平稳过渡。
问：该标准与控制措施实践准则（ISO/IEC 27002）有何区别？
答：17025更侧重于ISMS的“体系过程”层面的实施，包括规划、评估、检查等；而27002集中于具体的安全控制措施（如访问控制、加密）。两者互补：17592指导如何建立和运行管理体系，27002则提供可选择的控制措施库。
答：17025更侧重于ISMS的“体系过程”层面的实施，包括规划、评估、检查等；而27002集中于具体的安全控制措施（如访问控制、加密）。两者互补：17592指导如何建立和运行管理体系，27002则提供可选择的控制措施库。
问：风险评估的深度是否在标准中被严格规定？
答：标准没有要求固定的风险分析方法，只要求方法应适用且一致。组织可根据规模、风险环境和业务需求选择定性或定量分析，但必须记录理由和结果。实施指南提供了多种方法的优缺点比较作为参考。
答：标准没有要求固定的风险分析方法，只要求方法应适用且一致。组织可根据规模、风险环境和业务需求选择定性或定量分析，但必须记录理由和结果。实施指南提供了多种方法的优缺点比较作为参考。
