ISO 27001 哪些文件和记录是强制性的？

ISMS 文件的数量或格式没有正式要求，但是，必须以书面形式记录以下信息：

ISMS 的范围 

信息安全政策和目标 

风险评估和风险处理方法 

风险评估和风险处理报告 

安全角色和职责的定义 

资产盘点

可接受的资产使用

访问控制策略 

IT管理操作规程

一些组织维护着一个高度复杂的生态系统，其中包含相互关联的目录、政策、程序和其他文件，这些文件映射到特定的 ISO 27001 条款或附录 A 中的安全控制；但是，建议根据您的需求和上下文定制您的 ISMS 文件，组织，使一切尽可能简单。您的文档越不复杂，终维护、改进和审核它的成本就越低。

ISO 27001 合规性、审核或认证是否是强制性

不同于国家颁布的法律法规，如GDPR欧盟或NYDFS在纽约的状态下，ISO 27001合规性和认证不是强制性的，然而，对于大型组织和政府实体的供应商而言，该标准已成为普遍的先决条件，他们现在需要强制性的 ISO 27001 认证或来自承包商和供应商的 SOC 2 报告，以降低第三方风险并大限度地减少供应链攻击的影响。

许多组织将通过外部审计认证的强制性 ISO 27001 合规性纳入其第三方风险管理计划 (TPRM) 中，除其他外，可能会通过合同强制要求每年提交外部审计报告、定期现场检查，甚至对未治愈的人处以罚款不符合标准，反复违反合同规定可能导致粗心的供应商终止合同和失去业务。