ISO27001审核

ISO27001简介
1、来源：
BS7799-1:1995《信息安全管理实施细则》――ISO/IEC 17799:2000《信息技术――信息安全管理实施细则》――ISO/IEC 17799:2005（内容提升）――ISO/IEC 27002:2005
BS7799-2:1998《信息安全管理体系规范》――BS7799-2:2002（加PDCA）――ISO/IEC 27001:2005
GB/T19716:2005《信息安全管理实用规则》参考ISO17799:2002――GB/T22081-2008.
2、ISMS 文件体系通常是由四个层次构成的：
信息安全手册:对信息安全管理体系框架的整体描述;
一级文件:全组织范围内的信息安全方针，以及下属各个方面的策略方针等;
二级文件：各类程序文件;
三级文件：具体的作业指导书;
四级文件：各种记录文件，包括实施各项流程的记录成果。
3、认证过程：
第一步：建立ISMS,可由外部组织；
第二步：提出申请；
第三步：认证审核：预审、书面审核、现场审核；
第四步：获得证书，半年或一年用户复审，三年期满重审。
4、ISO2001与ISO17799:
ISO/IEC 27001的附录中有ISO/IEC 17799中的5到15章的全部内容，也就是说在进行ISMS建设以及27001认证时， ISO/IEC 17799中11个方面，39个控制点，以及133个控制措施都作为重要的参考点，进行差距分析时，这些内容都是重要的依据。
17799重点关注的是实施细则,27001重点关注的是建设体系的要求，并且有认证机制。

内部审核员
1、基本概念
审核含义：对信息安全相关的审核证据进行客观评价，以确定满足信息安全审核准则的程度所进行的系统、独立并形成文件的过程。
审核准则：安全管理方针、SOA、风险评估报告及管理计划、法规要求、合同要求、内部安全规范要求�O；
审核证据:与审核准则有关并且能够证实的记录、事实陈述及其他信息。
审核类型：第一方审核（内审）、第二方审核（顾客），第三方审核；
审核阶段：第一阶段为文件审查，第二阶段为对ISMS实施结果审查。
基本程序：策划与准备、实施、报告、跟踪。
2、审核策划与准备
――年度审核策划：时间及方式
――审核准备：目的及范围、特别要求、成员、时间资源、计划、检查表、审核前沟通
――编制ISMS审核实施计划：目的及范围、准则、成员、详细日程安排（会议时间、人员分配、受审部门时间、主要审核点）、特别说明（临时权限及业务影响）、批准人签字、通知的对象部门
――编制审核检查表：（备忘录，应该反映实际的业务过程）审核准则、部门、检查要点、验证方法、抽样数、审核时间、验证结果。
――审核前沟通：特别事项、提前通知、组内会议。
3、审核实施
――首次会议
――现场审核：
基本原则（行规）：进入审核区域、自我介绍（由陪同人员介绍）、解释希望看什么、进行适当深度调查、如无问题继续审核计划、切记为了问题而审核。
提问方式：开放式提问了解活动，封闭式提问用于确认。
审核技巧：抽样、验证、询问；
――不合格报告：
分类：严重不合格、一般不合格、观察意见；
不合格判断：足够事实？孤立的问题？频繁？严重程度?纠正措施？对受审方的帮助？违反ISO哪一条规则？
不合格描述：客观判断、地点、事实、原因、职位、专业术语、可追溯、改进。得到责任人的许可。
报告：准确清晰的描述不合格事实、问题性质、违反规定条款，纠正措施计划及责任部门
――审核组会议
――末次会议
4、审核报告、纠正及跟踪
――审核报告
――纠正措施计划及执行：补救措施、预防措施
――纠正措施跟踪
――审核档案管理：审核实施计划、审核检查表、现场审核记录、审核不合格报告、审核报告、纠正预防措施计划、纠正措施实施证据、措施验证记录。