用途
该技能用于按照 ISO/IEC 27001:2022 标准实施信息安全管理体系（ISMS）。适用场景包括：组织首次建立 ISMS、准备 ISO 27001 认证审核、开展风险评估并制定风险处置计划、编制适用性声明（SoA）、从 ISO 27001:2013 过渡到 2022 版，以及满足客户或法规对 ISO 27001 认证的要求。
主要能力
技能围绕 ISMS 的 Plan-Do-Check-Act（PDCA）循环组织内容：
- Plan（策划）：定义 ISMS 范围与边界、建立信息安全方针、开展风险评估、制定风险处置计划、编制适用性声明、获取管理层批准与承诺、定义安全目标与指标。
- Do（实施）：实施选定的附录 A 控制措施、部署技术安全控制、开展安全意识培训、记录所有程序与流程、实施事件管理流程、建立供应商安全管理。
- Check（检查）：开展内部审计（至少每年一次）、召开管理评审会议、监控和测量控制有效性、审查事件趋势与未遂事件、评估法律法规合规性、对照目标评估安全指标。
- Act（改进）：针对不符合项采取纠正措施、实施持续改进举措、根据变化更新风险评估、根据审计发现优化控制措施、向利益相关方沟通改进情况。
技能还提供以下模板与流程：
- ISMS 范围定义模板：包含组织名称、范围声明、纳入范围（地点、业务流程、信息资产、技术）、排除项及排除理由、接口。
- 风险评估流程：采用基于资产的风险评估方法，风险公式为“风险 = 可能性 × 影响”，可能性和影响均采用 1-5 分制（总分 1-25）。提供可能性量表、影响量表、风险矩阵、风险偏好（接受 1-4 分、缓解 5-14 分、上报 15-25 分）、处置选项（缓解、转移、规避、接受）以及示例风险登记册。
- 适用性声明（SoA）模板：按 ISO 27001:2022 附录 A 控制措施分类，涵盖组织控制（5）、人员控制（6）、物理控制（7）、技术控制（8），每条控制措施包含适用性、理由和实施说明。
- 内部审计计划：包含审计频率、审计计划模板、发现分类（重大不符合、轻微不符合、观察项、正面发现）和纠正措施时限。
- 管理评审会议：包含频率、参会人员、强制输入、强制输出和需报告的 KPI。
- ISO 27001 认证检查清单：分为第一阶段审核准备、第二阶段审核准备、监督审核准备三个阶段。
使用方式
技能以结构化配置和模板形式提供，用户可参照其中的 PDCA 循环、范围定义模板、风险评估方法、SoA 模板、内部审计计划、管理评审框架和认证检查清单来建立和维护 ISMS。具体调用方式暂未提供。
适用场景
- 组织首次建立信息安全管理体系
- 准备 ISO 27001 认证审核
- 开展风险评估与制定风险处置计划
- 编制适用性声明（SoA）
- 从 ISO 27001:2013 过渡到 2022 版
- 满足客户或法规对 ISO 27001 认证的要求
限制
资料未提供该技能的具体安装命令、运行环境要求、支持的平台、收费方式或价格信息。技能内容为框架和模板性质，实际实施需结合组织具体情况。