ISO 27001强制性的文件和记录有那些

答：

ISMS 文件的数量或格式没有正式要求，但是，必须以书面形式记录以下信息：

ISMS 的范围

信息安全政策和目标

风险评估和风险处理方法

风险评估和风险处理报告

安全角色和职责的定义

资产盘点

可接受的资产使用

访问控制策略

IT管理操作规程

一些组织维护着一个高度复杂的生态系统，其中包含相互关联的目录、政策、程序和其他文件，这些文件映射到特定的 ISO 27001 条款或附录 A 中的安全控制；但是，建议根据您的需求和上下文定制您的 ISMS 文件，组织，使一切尽可能简单。您的文档越不复杂，终维护、改进和审核它的成本就越低。

ISO 27001 合规性、审核或认证是否是强制性

不同于国家颁布的法律法规，如GDPR欧盟或NYDFS在纽约的状态下，ISO 27001合规性和认证不是强制性的，然而，对于大型组织和政府实体的供应商而言，该标准已成为普遍的先决条件，他们现在需要强制性的 ISO 27001 认证或来自承包商和供应商的 SOC 2 报告，以降低第三方风险并大限度地减少供应链攻击的影响。