Information Security Manager - ISO 27001 用于实施和管理符合 ISO 27001:2022 及医疗健康监管要求的信息安全管理体系（ISMS）。覆盖完整生命周期：范围界定、按第 6.1.2 条开展风险评估、四大主题下 93 项附录 A 控制措施的选择与实施、认证准备、事件响应，以及与 SOC 2、NIST CSF 2.0、NIS2 的跨框架映射，并提供云环境（AWS/Azure/GCP）与零信任专项指引。
核心能力
- ISMS 实施：范围与上下文定义、风险处置、适用性声明（SoA）、监控指标、认证准备（第 1/2 阶段）。
- 风险评估：第 6.1.2 条方法学、资产分类、威胁/脆弱性建模、可能性 × 影响评分、处置规划。
- 控制措施实施：全部 93 项 Annex A:2022 控制（组织、人员、物理、技术）及云服务商映射与零信任集成。
- 事件响应：检测、分级/分类、遏制、恢复、经验教训。
- 跨框架对齐：ISO 27001 ↔ SOC 2 TSC ↔ NIST CSF 2.0 ↔ NIS2，以及供应链与硬件密钥（FIDO2）要求。
适用触发场景
当出现“实施 ISO 27001”“ISMS 实施”“安全风险评估”“信息安全政策”“ISO 27001 认证”“安全控制实施”“事件响应计划”“医疗数据安全”“医疗器械网络安全”“安全合规审计”等需求时使用。
先澄清输入
运行评估前需确认以下输入，若未知或模糊应主动询问，不得假设：
- ISMS 范围：边界内包含哪些系统、位置和数据（决定适用性声明与风险评估）。
- 任务类型：ISMS 实施、风险评估、差距分析或事件响应（决定工作流与脚本）。
- 威胁上下文：通用、医疗健康或云（决定威胁目录并改变风险登记输入）。
停止规则：只询问最影响输出的 2-3 项。若用户表示“先起草”，则继续执行并在报告顶部列出假设。
快速开始
运行安全风险评估
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
检查 ISO 27001 合规状态
python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv
生成差距分析报告
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md
参考文件
按任务加载对应参考，保持主文件精简、按需拉取细节：
- references/workflows-and-tools.md — 分步 ISMS 实施、风险评估与事件响应工作流；验证检查点；认证准备清单；医疗健康示例；故障排查；成功标准；以及完整的 risk_assessment.py / compliance_checker.py 参数表。在执行端到端工作流或查询脚本参数时阅读。
- references/annex-a-controls.md — 完整列举四大主题下全部 93 项 Annex A:2022 控制，以及 2022 版新增的 11 项控制。在构建/更新适用性声明或将 2013 版 SoA 映射到 2022 版时阅读。
- references/cloud-and-cross-framework.md — AWS/Azure/GCP 控制映射、零信任架构集成、硬件安全密钥（FIDO2/WebAuthn）要求、供应链安全，以及 ISO 27001 ↔ SOC 2 / NIST CSF / NIS2 映射。在特定云实现、设计零信任或追求多项认证时阅读。
- references/iso27001-controls.md — Annex A 控制实施指引，含证据要求与审计准备。在选择 SoA 控制与审计准备时阅读。
- references/risk-assessment-guide.md — 风险方法学选择、资产分类标准、威胁建模方法与风险计算方法。在设计风险评估流程前阅读。
- references/incident-response.md — 详细响应流程、升级矩阵、沟通模板与恢复清单。在构建或运行事件响应计划时阅读。
范围与限制
范围内：ISO 27001:2022 ISMS 实施（四大主题全部 93 项 Annex A 控制）；按第 6.1.2 条风险评估，含可配置威胁目录（通用、医疗健康、云）；针对 ISO 27001/27002 的合规检查与差距分析；跨框架映射到 SOC 2 TSC、NIST CSF 2.0 与 NIS2；AWS/Azure/GCP 云专项控制；零信任集成与分阶段路线图；硬件安全密钥（FIDO2/WebAuthn）要求；供应链控制，含 SBOM 与供应商风险分级。
范围外：ISO 27001 认证审计执行（仅提供准备指引，不提供审计服务）；具体安全工具实施（SIEM、EDR、DLP、WAF——仅映射到类别）；渗透测试或漏洞扫描执行（请使用 infrastructure-compliance-auditor）；超出交叉引用范围的 ISO 27701/27017/27018 实施；超出控制要求的物理安全系统设计。
重要说明
- ISO 27001:2013 到 2022 的过渡截止日期为 2025 年 10 月；所有认证现均须符合 2022 版。
- 2022 修订引入 11 项全新控制，尤其是 A.5.7（威胁情报）、A.5.23（云服务）、A.8.9（配置管理）、A.8.16（监控活动）、A.8.28（安全编码）。
- 通过统一的 Annex SL 结构与其他标准（ISO 27701、ISO 42001、ISO 9001）集成正成为标准做法。
集成点
- isms-audit-expert：内部与外部 ISMS 审计管理、控制测试与发现管理。在规划或执行 ISO 27001 审计并跟踪纠正措施时使用。
- infrastructure-compliance-auditor：技术基础设施检查验证 ISO 27001 Annex A 技术控制。在对照 ISO 27001 要求评估实际基础设施安全态势时使用。
- soc2-compliance-expert：将 SOC 2 信任服务准则映射到 ISO 27001 控制以实现双重合规。当组织同时需要 ISO 27001 认证与 SOC 2 Type II 报告时使用。
- gdpr-dsgvo-expert：将 GDPR 第 32 条处理安全性与 ISO 27001 控制对齐；A.5.34 PII 保护。当 ISMS 需支持 GDPR 合规要求时使用。
- nist-csf-specialist：将 NIST CSF 2.0 功能映射到 ISO 27001，适用于有美国业务的组织。在跨 ISO 27001 与 NIST CSF 构建统一安全框架时使用。
- dora-compliance-expert：ISO 27001 控制支持金融实体的 DORA 第一支柱（ICT 风险管理）要求。当金融实体以 ISO 27001 作为 DORA 合规基础时使用。