審核是指：為獲得審核證據(jù)并對(duì)其進(jìn)行客觀的評(píng)價(jià)，以確定滿足審核準(zhǔn)則的程度所進(jìn)行的系統(tǒng)的、獨(dú)立的并形成文件的過程。按照審核活動(dòng)的委托方可以將審核分為內(nèi)部審核和外部審核。
一、內(nèi)部審核
ISO27001信息安全管理體系認(rèn)證的內(nèi)部審核：由企業(yè)或組織內(nèi)部人員有計(jì)劃地、按照既定的時(shí)間間隔定期地（一般每年至少1次），對(duì)其信息安全管理體系符合性的自我評(píng)估和檢查。在這個(gè)審核中，要確保整個(gè)體系符合ISO/IEC 27001：2013標(biāo)準(zhǔn)和相關(guān)法律法規(guī)的要求，要符合已確定的信息安全的要求，確保體系得到有效的實(shí)施和保持。
在審核初期，一定要制定信息安全方針，發(fā)布并傳達(dá)給全體員工和外部相關(guān)方。如在積極預(yù)防、全面管理、控制風(fēng)險(xiǎn)、保障安全方面要定好目標(biāo)。
信息安全目標(biāo)的制定
使已識(shí)別的信息資產(chǎn)滿足信息安全的各項(xiàng)要求，包括法律法規(guī)、客戶與相關(guān)方和組織業(yè)務(wù)要求。具體目標(biāo)包括：
1、信息泄露事件為零
2、引起組織主要業(yè)務(wù)中斷時(shí)間累計(jì)不能超過2h/年
3、嚴(yán)重影響網(wǎng)絡(luò)與信息系統(tǒng)可用性的事件小于1次/年
4、引起組織主要業(yè)務(wù)中斷事件發(fā)生次數(shù)小于1次/年
5、信息安全事件發(fā)生時(shí)，以損失最小化、恢復(fù)時(shí)間最短化、避免再次發(fā)生為目標(biāo)。
內(nèi)部審核的要求
1、公司建立并實(shí)施《內(nèi)部審核程序》，明確審核的目的、體制、程序等內(nèi)容，確保公司ISMS的符合性和有效性，符合已識(shí)別的信息安全要求；
2、審核組長(zhǎng)負(fù)責(zé)監(jiān)督內(nèi)部審核的進(jìn)行，并將審核情況報(bào)告信息安全負(fù)責(zé)人；
3、應(yīng)安排具備審核員資格的人員進(jìn)行審核，審核員不應(yīng)審核自己部門的工作，以確保審核的公正性和客觀性；
4、公司按計(jì)劃的時(shí)間間隔（不超過1年）組織內(nèi)部審核；審核計(jì)劃的安排應(yīng)考慮部門的重要性及以往的執(zhí)行情況；
5、有關(guān)審核的所有記錄應(yīng)由信息安全戰(zhàn)略推進(jìn)組進(jìn)行保存
6、受審核部門應(yīng)采取適當(dāng)?shù)拇胧韵l(fā)現(xiàn)的不符合項(xiàng)；
7、審核員應(yīng)對(duì)所采取措施的情況進(jìn)行跟蹤驗(yàn)證，確保不符合項(xiàng)的結(jié)案；
二、外部審核
為迎接ISO27001認(rèn)證外部審核，企業(yè)需要準(zhǔn)備風(fēng)險(xiǎn)評(píng)估相關(guān)材料、內(nèi)部審核相關(guān)材料、體系運(yùn)作相關(guān)材料、管理評(píng)審相關(guān)材料、各類體系文件制度等資料以備查驗(yàn)。
1、信息安全方針制定情況
2、控制措施選用情況
3、體系運(yùn)作情況
4、文件體系的符合情況
5、各方面策略的指定情況
外部審核
1、外部審核也叫外審，可分為一審和二審，外審的時(shí)候認(rèn)證機(jī)構(gòu)會(huì)聯(lián)系負(fù)責(zé)人并約定好檢查時(shí)間到現(xiàn)場(chǎng)檢查。
2、外審主要是審核制度體系文件是否滿足標(biāo)準(zhǔn)，公司有沒按照體系制度的要求去執(zhí)行，是否有運(yùn)行記錄的產(chǎn)出，公司的總體情況以及看一下公司的辦公環(huán)境。針對(duì)信息安全部進(jìn)行的，以了解情況為主，一般來說有問題可以當(dāng)場(chǎng)整改。
3、一般一審只需要一天，審核人員為：審核組長(zhǎng)。審核完成會(huì)出一份審核結(jié)果。如果不通過一般都在一審不通過，不需要二審了。
4、二審需要的時(shí)間會(huì)較長(zhǎng)，具體的時(shí)間和費(fèi)用會(huì)根據(jù)所申報(bào)的規(guī)模和人數(shù)去判定。
滬公網(wǎng)安備 31010502000282號(hào)