BSC Designer 中的 ISO 合规：关于控制、证据与审计就绪性的案例研究

本案例研究展示了一家欧洲 B2B SaaS 供应商如何构建其信息安全管理体系，以满足 ISO/IEC 27001 的要求，同时将额外投入与对日常工作的干扰降至最低。

测试 ISO 27001 计分卡试点

分享您现有的 ISO 27001 计划或 Excel 材料。我们将讨论您的安全与战略团队如何在 BSC设计师 中将控制项跟踪、KPI指标 跟踪、证据与报告连接起来，而不是在各自独立的电子表格中分别维护。

讨论试点

从一组有限的控制项与指标开始，在将其扩展到完整的 ISMS 或更广泛的管理体系之前先测试该方法。

公司概况：服务企业客户的欧洲 B2B SaaS 提供商

该公司开发并运营一个 B2B 软件即服务（SaaS）平台，供欧洲和北美的各类组织使用。该解决方案支持核心运营工作流程，并与客户系统集成，处理使用数据以及有限的个人数据。

该组织约有 70 名员工，包括工程、产品以及面向客户的团队，并以分布式方式开展工作。年度收入估计约为 800 万至 1,200 万美元，主要来自与中型及企业客户签订的长期合同。随着客户群的演进，正式的信息安全保障已成为销售与续约流程中的一项要求。

业务含义：企业客户需求推动了 ISO/IEC 27001

决定推进 ISO/IEC 27001 认证，源于企业客户的期望。安全问卷、供应商评估以及合同谈判均要求提供已建立并持续维护的信息安全管理体系的证明。

参与该项倡议的关键相关方包括：

• 企业客户 – 期望具备成文的控制措施、风险管理以及可靠的审计证据；
• 创始人兼首席执行官 – 对治理、合同承诺与信任负责；
• 首席技术官 – 负责技术控制、系统安全与运营连续性。

若干挑战在早期即已显现：

• 安全信息分散于各类工具 – 政策、评审与证据存放在多个位置；
• 整体视图有限 – 缺乏一个能够将风险、控制措施、资产与事件统一呈现的单一位置；
• 流程负担过重的风险 – 担心 ISO 准备工作会增加投入，却没有明确的内部收益；
• ISMS 经验有限 – 技术能力强，但在正式的信息安全治理方面实践不足。

实施：将 ISO/IEC 27001 融入持续管理

在确定最终方法之前，公司审查了若干业内成熟、常用于 ISO/IEC 27001 认证的 GRC 平台。这些工具被评估为适合管理认证工作流，但与公司现有的管理实践契合度较低。

与此同时，公司已在使用 BSC设计师 来监控战略计划与内部执行优先事项。将这一既有结构扩展至信息安全管理被视为合乎逻辑的一步，使 ISO/IEC 27001 能够嵌入已建立的治理与评审周期之中。

在技术层面，这转化为：

• 政策文档 – 内部政策与流程被整合至安全的在线文件存储环境中；
• ISMS 治理 – 范围、角色、评审节奏与改进行动在专用的 ISMS 计分卡中维护；同时，利益相关方及其战略意图通过现有的利益相关方计分卡进行关联；
• 安全控制 – 控制项被建模为指标，并为其分配唯一 ID、责任人、评审频率，并在每次评审中附上证据；
• 风险管理 – 风险通过 BSC设计师 的原生风险功能进行跟踪，可分别评估可能性与影响，以及固有风险与残余风险水平，并记录处置行动、接受状态与责任人；
• 资产与供应商 – 资产与第三方通过扩展了自定义字段的计分卡进行文档化，这些字段反映分类、关键性与评审要求；
• 事件与发现 – 安全事件、险些事件与审计发现被记录并跟踪，通过纠正措施直至结案。

客户的期望是拥有实时且与战略对齐的安全控制：

“我们不希望安全文档只是在审计员面前存在。如果我们无法自行评审、更新并解释它，那么它对我们就没有用。”

这一期望塑造了 ISMS 的构建与使用方式。例如，为 ISO/IEC 27001 定义的控制项也被复用为审计范围之外的风险评估与管理计分卡的输入，从而支持运营与战略决策。

在实施过程中提出的一项实际关切凸显了常见的审计风险：

“我们最大的风险是在审计员索取时，证据分散在不同位置而丢失。”

为解决这一问题，证据被直接上传到每一次控制项评审中，并与该控制项的更新日期关联。每条证据均附有上传者的简短说明性备注，用以提供其相关性的含义，并说明该证据所证明的内容。

访问权限被配置为：可在限定期限内向审计员授予对相关计分卡的只读访问权限。修改权限始终仅限于获授权的角色，从而确保 ISMS 内容不会被无意更改，亦不会在缺乏问责的情况下被更改。

平台内的所有变更都会自动记录在中央审计追踪记录中。同一审计追踪记录还可筛选，以显示特定条目的变更历史，例如单个控制项、风险或事件，使审计员与管理层无需维护单独的版本历史，即可审阅各条目随时间的演变过程。

结果：集中式 ISMS、可靠证据、降低审核摩擦

实施后，公司观察到若干具体成果，提升了审核就绪度与内部透明度。

• 集中式 ISMS 总览 – 风险、控制措施、资产、供应商和事件在一处可见；
• 一致的证据处理 – 证据与相关控制措施一并审核并存储；
• 明确的责任划分 – 为所有关键 ISMS 要素指定了责任人；
• 更低的审核工作量 – 无需手动报告即可准备审核数据；
• 更有力的客户沟通 – 对企业安全问题的回应更清晰且更一致。

公司还跟踪了若干高层级 ISMS 指标，包括：

• 控制措施审查完成情况 – 在规定时间范围内完成审查的控制措施；
• 未结事件与发现项 – 未解决问题的数量与存在时长；
• 风险接受状态 – 待批准或待处置的风险；
• 供应商审查覆盖率 – 按计划完成的第三方审查。

如需将 ISO 27001 控制措施与可衡量的改进相连接，请了解 质量跟踪软件 如何帮助管理 KPI指标、纠正措施和证据。

如何以更少的工作量实施 ISO 27001？

ISO 27001 认证需要投入大量工作，但如果实施得当，它可以（1）真正驱动价值，并且（2）以更少的工作量完成实施：

• 将 ISO 就绪性纳入现有管理体系 – 复用既有结构，而不是建立并行流程；
• 让证据紧贴控制措施 – 将含义与论证与每次审查一并存储；
• 在具备完整可追溯性的前提下实施访问控制 – 在不牺牲完整性的情况下实现透明；
• 使用诸如 BSC Designer 这样的结构化平台 – 以便长期保持清晰度、责任落实与审计就绪性。