那天我在直播讲解ISO/IEC 27001标准的时候，其中有一位网友，应该是观看的一会儿，然后问道，似乎没有讲到多少的合规的内容。这位网友会有这样的疑问，是因为现在在信息安全这个行业，有一个常识性的错误，那就是把ISO/IEC 27001放到了信息安全合规的范畴里面了。

其实，ISO/IEC 27001和信息安全合规是不能等同的。信息安全合规主要包括两个方面：其一是信息安全法律法规的合规，其二是合同信息安全要求（例如客户信息安全要求）的合规。而要实现这两个方面的合规，必须需要有一个基础，而这个基础就是ISO/IEC 27001。

所以，ISO/IEC 27001和信息安全合规，就好比是一栋房子的地基和地基以上部分的其中一部分（因为以ISO/IEC 27001而建立信息安全管理框架的目的并不仅仅是为了信息安全合规），而并不能把ISO/IEC 27001等同于信息安全合规。