信息安全管理体系审核检查表
信息安全管理体系审核指南标准要求的强制性ISMS文件
审核重点
第二阶段审核：
a) 检查受审核组织如何评估信息安全风险和如何设计其ISMS，包括如何：
●定义风险评估方法(参见4.2.1 c)
●识别安全风险(参见4.2.1 d))
●分析和评价安全风险(参见4.2.1 e)
●识别和评价风险处理选择措施(参见的4.2.1 f)
●选择风险处理所需的控制目标和控制措施(参见4.2.1 g))
●确保管理者正式批准所有残余风险(参见4.2.1 h)
●确保在ISMS实施和运行之前，获得管理者授权(参见的4.2.1 i))
●准备适用性声明(参见4.2.1 j)
b) 检查受审核组织如何执行ISMS监控、测量、报告和评审(包括抽样检查关键的过程是否到位)，至少包括：
●ISMS监视与评审(依照4.2.3监视与评审ISMS”条款)
●控制措施有效性的测量(依照4.3.1 g)
●内部ISMS审核(依照第6章“内部ISMS审核”)
●管理评审(依照第7章“ISMS的管理评审”)
●ISMS改进(依照第8章“ISMS改进”)。
c) 检查管理者如何执行管理评审(包括抽样检查关键的过程是否到位)，依照条款包括：
●4.2.3监视与评审ISMS
●第7章“ISMS的管理评审”。
d) 检查管理者如何履行信息安全的职责(包括抽样检查关键的过程是否到位)，依照条款包括：
●4.2.3监视与评审ISMS
●5 管理职责
●7 ISMS的管理评审
e) 检查安全方针、风险评估结果、控制目标与控制措施、各种活动和职责，相互之间有如何连带关系(也参见本文第8章“过程要求的符合性审核”)。
监督审核：
a) 上次审核发现的纠正/预防措施分析与执行情况；
b) 内审与管理评审的实施情况；
c) 管理体系的变更情况；
d) 信息资产的变更与相应的风险评估和处理情况；
e) 信息安全事故的处理和记录等。
再认证审核：
a) 检验组织的ISMS是否持续地全面地符合ISO/IEC 27001:2005的要求。
b) 评审在这个认证周期中ISMS的实施与继续维护的情况，包括：
●检查ISMS是否按照ISO/IEC 27001:2005的要求加以实施、维护和改进；
●评审ISMS文件和定期审核(包括内部审核和监督审核)的结果；
●检查ISMS如何应对组织的业务与运行的变化；
●检验管理者对维护ISMS有效性的承诺情况。
4 信息安全管理体系
4.1总要求
4.2 建立和管理ISMS
精选文本
精选文本
精选文本
精选文本
精选文本
4.2.3 监视与评审ISMS
精选文本
精选文本
4.2.4 保持与改进ISMS
精选文本
4.3 文件要求
4.3.1 总则
精选文本
精选文本
精选文本
精选文本
精选文本
5 管理职责
5.1 管理承诺
5.2 资源管理
精选文本
5.2.2 培训、意识和能力
精选文本
精选文本
精选文本。
7 ISMS 的管理评审 7.1 总则
精选文本
精选文本
精选文本
8 ISMS改进
8.1 持续改进
精选文本
精选文本
精选文本
附录2 - 控制要求符合性审核
A.5安全方针
A.5.1 信息安全方针
A.6信息安全的组织
A.6.1 内部的组织
目标：管理组织内的信息安全。
精选文本
目标：保持被外方访问与处理，与外方通信，或被管理的组织的信息与信息处理设施的安全。
精选文本
A.7资产
A.7.1 对资产的职责
目标：确保信息受到适当级别的保护。
A.8 人力资源安全
A.8.1雇用之前
精选文本
目标：确保所有雇员、承包人和第三方用户意识到信息安全威胁与利害关系、他们的职责与义务，并在其正常工作中支持组织的安全方针和减少人为过失的风险。
目标：确保雇员、承包人和第三方用户以一个适宜的方式离职或变更雇用。
精选文本
A.9 物理和环境安全
A.9.1安全区域
精选文本
精选文本
A.10 通信和运行管理
A.10.1 运行程序和职责
目标：依照第三方服务交付协议，实施和保持适当水准的信息安全和服务交付。
精选文本
A.10.3 系统规划和验收
目标：将系统故障的风险降至最小。
目标：保护软件和信息的完整性。
以下是对在这个目标下的2个控制措施的审核。
精选文本
目标：防止资产遭受未授权泄露、修改、移动或销毁，和中断业务活动。
精选文本
精选文本
A.11 访问控制
A.11.1 访问控制的业务要求
目标：控制对信息的访问。
精选文本
精选文本
精选文本
目标：防止对操作系统的未授权访问。
精选文本
目标：防止未授权访问应用系统中的信息。
A.12 信息系统获取、开发和维护
A.12.1 信息系统的安全要求
精选文本
精选文本
目标：降低利用已公布的技术脆弱性导致的风险。
精选文本
A.13 信息安全事故管理
A.13.1 报告信息安全事件和弱点
精选文本
A.14 业务连续性管理
A.14.1 业务连续性管理的信息安全问题
精选文本
A.15 符合性
A.15.1 法律要求的符合性
精选文本
目标：确保系统符合组织的安全方针和标准。
目标：将信息系统审计过程的有效性最大化，干扰最小化。
精选文本。
信息安全管理体系内部审核检查表
d) 组织要定义如何测量所选控制 l 组织是否有一个“测量所选控制措施有效性”的过程？ 措施的有效性
l 如何使用测量措施，去测量控制措施的有效性？
e) 组织要实施培训和意识教育计 l 组织是否有一个符合标准此条款要求的“实施培训和意识教育计划”的过程？
划
f) 组织要管理ISMS的运行
l 组织是否有“管理ISMS的运行”的过程？
条款 6 ISMS内部审核
(1) 定期进行内部ISMS审核
l 是否有一个定期进行内部ISMS审核的过程？
(2) 制定审核方案
l 是否有一个审核方案？
l 该审核方案是否考虑了受审核的过程与受审核的部门的状况和重要性，以及以往审核的结果？
(3) 定义审核的准则、范围、频 次和方法 (4) 审核员的选择，审核的实施 要确保审核过程的客观公正 (5) 审核员不准审核自己的工作
e) 组织要执行定期的ISMS内部 l 是否有到位的定期的“ISMS内部审核”过程或程序？
审核
f) 组织要执行定期的ISMS管理评 l 是否有到位的定期的“ISMS管理评审”过程或程序？
审
g) 组织要更新信息安全计划
l 组织是否参考监视和评审活动的发现，而“更新信息安全计划”？
h) 组织要维护ISMS事件和行动 措施的纪录 条款：4.2.4 保持和改进ISMS
a) 管理评审的输入要包括审核和 l 是否有一个确保管理评审的输入包括标准要求的9方面信息的过程？ 评审结果
l 是否管理评审的输入包括先前的审核和评审结果？
b)管理评审的输入要包括相关方 的反馈 c)管理评审的输入要包括可用于 改进ISMS的技术、产品或程序 d)管理评审的输入要包括预防和 纠正措施的状况 e)管理评审的输入要包括以往风 险评估没有充分解决的脆弱点或 威f)管胁理评审的输入要包括有效性 测量的结果 g)管理评审的输入要包括以往管 理评审的跟踪措施 h)管理评审的输入要包括可能影 响ISMS的任何变更 i) 管理评审的输入要包括改进的 建议 条款 7.3 评审输出
ISO27001：2013信息安全管理体系内部审核检查表
3.检查适用性声明，是否针对实际情况做了合理
章节
条款
GB/T22080-2016（条文内容）
审核内容
审核记录
检查方式
审核结论
存在问题
和依赖关系。
该范围应形成文件化信息并可用。
的删减？
4.4信息安全管理体系
组织应按照本标准的要求，建立、实现、维护和持续改进信息安全管理体系。
1.是否由最高管理者制定了信息安全方针并发布？
2.信息安全方针是否符合标准要求？
3.信息安全方针是否形成文件？
4.信息安全方针是否在组织内得到沟通？
5.3组织的角色，责任和权限
最高管理层应确保与信息安全相关角色的责任和权限得到分配和沟通。
最高管理层应分配责任和权限，以：
a）确保信息安全管理体系符合本标准的要求；
2）评价这些措施的有效性。
1.是否制定了《应对风险和机遇程序文件》？
2,是否制定应对风险和机遇的措施？
6.1.2信息安全风险评估
组织应定义并应用信息安全风险评估过程，以：
a）建立并维护信息安全风险准则，包括：
1.公司是否建立信息风险评估程序？
2.公司是否进行了风险评估并保留了风险评估
章节
条款
GB/T22080-2016（条文内容）
审核内容
审核记录
检查方式
审核结论
存在）确保反复的信息安全风险评估产生一致的、有效的和可比较的结果；
c）识别信息安全风险：
1）应用信息安全风险评估过程，以识别信息安全管理体系范围内与信息保密性、完整性和可用性损失有关的风险；
2）识别风险责任人；
d）分析信息安全风险：
ISO27001-2022内审检查表
支持
7. 1资 源
1、组织是否为建立、实施、保持和持续改进信息 安全管理体系提供了
所需的资源？
7. 2能 力
L组织在关键的信息安全岗位说明书中是否明确了信息安全方面 的能力要求？
2、组织是否定 期对信息安全岗位人员进行培训？ 并对其能力进行考
核？
7. 3意 识
1、员工是否了解组织 的信息安全方针？
5.24
信息安全突发事件管理的规划与准备
控制
组织应通过定义、建立和沟通信息安全事件管理流程、角色和职责，计划和准备信息安全事件的管理。
5.25
对信息安全事件的评估和决策
控制
该组织应评估信息安全事件，并决定它们是否要被归类为信息安全事件。
5.26
响应信息安全事件
控制
信息安全事件应按照文件化的程序进行响应。
风险评估
时间间隔执行信息安全风险评估，当重大变更被提出或发生时也应执行信息安全风险评估？
是否保留信息安全风险评估结果的文件化信息？
8. 3信息安全
风险处置
是否实施信息安全风险处理计划？
是否保留信息安全风险处理结果的文件化信息？
9
绩效评价
9. 1监视、测
量、分析和评价
1、组织是否建立了有效性测量管理程序？
么组织定义的文件和记录是否包括组织为有效实施信息安全管理体系所必要的文件和记录？
3、金融机构总部科技部门制定的安全管理制度是否适用千全机构范
围？分支行科技部门制定的安全管理制度是否仅适用千辖内？
7. 5. 2创建和更新
1、组织对创新和更新的文件和记录是否进行了标识？
2、组织对创新和更新的文件和记录在格式、存储介质方面是否有要求？
控制
信息安全管理体系内部审核检查表总
被审核部门： 领导层
审核员签字：第二组
序号
附录编号及名称
审核内容和方法
审核记录
合格性判断
1
A.5安全方针
1.1
A。5.1
信息安全方针
A.5。1.1信息安全方针文件
1。2
A。5.1.2评审和评价
A.6信息安全组织
A.6。1
内部组织
A.6.1。1信息安全的管理承诺
A.6。1。2信息安全协调
A。13。2。3收集证据
业务持续性管理
A。14。1
业务持续性管理的信息安全方面
A。14。1.1在业务连续性管理过程中包含信息安全
A。14。1。2业务持续性和风险评估
A。14.1。3开发并实施包括信息安全的持续性计划
A。14.1.4业务持续性计划框架
A。14.1。5业务持续性计划的测试、保持和再评估
A.15符合性
A.7资产分类和控制
A.7.1
资产责任
A。7.1。1资产清单
A。7.1.2资产所有者关系
A。7.1。3可接受的资产使用准则
A。7。2
信息分类
A.7。2。1分类指南
A.7。2.2信息的标识和处理
A。8人力资源安全
A。8。1
雇用前
A。8。1。1任务和职责
A。8。1.2人员考察
A.8。1.3雇用条款和条件
A.11.3.2无人值守的用户设备
A.11。3.3清理桌面及清除屏幕策略
A。11。4
网络访问控制
A.11.4。1网络服务使用策略
A.11.4.2外部连接的用户鉴别
A.11。4。3网络设备的识别
A。11.4。4远程诊断和配置端口保护
2022版27001内审检查表
符合
9.1监视、测量、分析和评价
公司确定的需要监视和测量的对象包括：定义如何测量所选控制措施的有效性，即要有一个“测量所选控制措施有效性”的过程；
1)规定如何使用这些测量措施，对控制措施的有效性进行测量(或评估)；
据此，管理者和员工就可以确定所选控制措施是否实现原计划的控制目标，或实现的程度。
文件化信息是否对记录的标识、收集、编目、归档、保存、维护、查阅、处置管理做出了规定？
文件化信息的形成与活动是否同步进行。与本组织有关的文件化信息有哪些？与受审核部门有关的记录有哪些？是否有保存期的规定？
文件修改后是否重新批准？识别修改状态的方法是什么？使用时是否都使用适应文件的有效版本？
文件化信息是否按档案管理规范的要求处置和管理？
进行ISMS管理评审。
符合
受审核部门：管理层
审核准则：ISO/IEC27001:2022，体系文件、适用法律法规
审核日期：2023.4.10
审核员：***
审核条款
检查内容
检查结果
5.2 方针
公司是否有一个ISMS方针文件？
公司的ISMS方针文件是否满足以下要求：
1)包括信息安全的目标框架、信息安全工作的总方向和原则；
文件化信息的形成与活动是否同步进行。与本组织有关的文件化信息有哪些？与受审核部门有关的记录有哪些？是否有保存期的规定？
文件修改后是否重新批准？识别修改状态的方法是什么？使用时是否都使用适应文件的有效版本？
文件化信息是否按档案管理规范的要求处置和管理?
符合
7.5.3文件记录信息的控制
文件化信息内容是否完整？版本是否有效？
符合
A.5.2信息安全的角色和责任
信息安全管理体系检查表
检查项目
检查内容
信息安全政策
检查公司是否有明确的信息安全政策，包括但不限于访问控制、数据保护、网络安全等方面的规定。
信息安全组织架构
检查公司是否有明确的信息安全组织架构，包括信息安全管理团队、技术团队、审计团队等。
信息安全培训
检查公司是否有定期的员工信息安全培训，包括但不限于安全意识、安全技能等方面的培训。
信息安全风险评估
检查公司是否有定期的信息安全风险评估，包括但不限于对系统、网络、应用等方面的评估。
信息安全事件管理
检查公司是否有明确的信息安全事件管理流程，包括但不限于事件报告、事件调查、事件处理等方面的规定。
信息安全审计
检查公司是否有定期的信息安全审计，包括但不限于对系统、网络、应用等方面的审计。信息 Nhomakorabea全技术措施
检查公司是否有实施有效的信息安全技术措施，包括但不限于防火墙、入侵检测、加密技术等方面的应用。
信息安全法律法规遵循
检查公司是否遵循相关的信息安全法律法规，包括但不限于《网络安全法》、《数据安全法》等方面的规定。
注：以上仅为示例，具体检查内容需根据实际情况进行调整。
信息安全管理体系审核检查表
信息安全管理体系审核检查表一、引言本审核检查表用于评估组织的信息安全管理体系（ISMS）是否符合国际标准ISO/IEC :2013的要求。
通过对该体系的审核，旨在确保组织的信息资源得到合理的保护，从而降低信息安全风险。
本检查表包括了ISO/IEC :2013标准的要求，并指导审核员进行系统的审核，并向组织提供改进和提升建议。
二、审核准备在审核开始之前，审核员应完成以下准备工作：1. 确定审核的范围和目标；2. 审核员应熟悉ISO/IEC :2013标准的要求；3. 准备适当的审核检查表和相关文档。
三、检查表请按照以下要求，对组织的信息安全管理体系进行审核，并记录相关的问题和发现：1. 上级管理对信息安全的承诺- 信息安全政策是否存在，并得到组织上级管理的正式批准和支持？- 是否有明确的信息安全目标和指标？- 上级管理是否对信息安全管理体系提供持续的支持和资源？2. 风险管理- 是否有完善的风险管理过程和程序？- 是否对关键信息资产进行分析和评估风险？- 是否定期进行风险评估和风险处理？- 是否建立了应对突发事件和灾难恢复计划？3. 资产管理- 是否对信息资产进行了明确的分类和归档？- 是否进行了明确的信息资产所有权和责任分配？- 是否制定了信息资产的安全控制措施？- 是否对信息资产进行了定期的核查和授权？4. 安全策略和控制措施- 是否制定了明确的安全策略和控制措施，并得到相关人员的理解和遵守？- 是否有效地实施了访问控制和身份认证机制？- 是否建立了网络安全防护和监控机制？- 是否制定了合理的安全事件响应和处理流程？5. 组织与人员- 是否对员工和相关人员进行了信息安全培训和教育？- 是否建立了合适的人员管理措施和安全意识提升机制？- 是否分配了适当的信息安全责任和权限？- 是否进行了合理的人员背景调查和授权管理？6. 合同与供应商管理- 是否与供应商建立了合适的信息安全协议或合同？- 是否对供应商进行了信息安全审核和评估？- 是否对供应商提供的产品和服务进行了管理和监控？四、总结和改进建议根据以上审核结果，结合ISO/IEC :2013标准的要求，审核员应向组织提供有关信息安全管理体系的总结和改进建议，包括发现的问题、不足和风险，以及相关的纠正和预防措施。
ISO27001-2013信息安全管理体系内部审核检查表`
ISO27001-2013信息安全管理体系内部审核检查表`被审核部门：审核时间：2020.01.06 编写人：被审核部门代表确认：内审员：管理者代表：审核依据：ISO27001:2013 及法律法规要求条款标题审核问题审核对象审核方式审核结果审核记录4 组织环境4.1 4.1 理解组织及其环境1、组织管理者是否了解组织内部可能会影响信息安全目标实现的风险？2、组织管理者是否了解组织外部环境，包括行业状况、相关法律法规要求、利益相关方要求、风险管理过程风险等？3、组织管理者是否明确组织的风险管理过程和风险准则？4.2 4.2 理解相关方的需求和期望1、组织是否识别了与组织信息安全有关的相关方？2、组织是否明确了这些相关方与信息安全有关要求？（包括法律法规要求和合同要求）4.3 4.3 确定信息安全管理体系的范围1、组织的信息安全管理体系手册中是否有明确管理范围？2、组织的适用性声明，是否针对实际情况做合理删减？3、组织对信息安全管理范围和适用性是否定期评审？4、组织制定的信息安全管理体系是否已经涵盖安全管理活动中的各类管理内容？4.4 4.4 信息安全管理体系1、组织是否建立、实施、保持、持续改进信息安全管理体系制度？2、信息安全制度有安全策略、管理制度、操作规程等构成？5 领导5.1 5.1 领导和承诺1、组织是否制定了明确的信息安全方针和目标，并且这些方针和目标与组织的业务息息相关？2、组织的业务中是否整合了信息安全管理要求？3、组织为实施信息安全管理，是否投入了必要的资源？（人、财、物）4、组织管理者是否在范围内传达了信息安全管理的重要性？5.2 5.2 方针1、组织制定的信息安全方针是否与组织的业务目标相一致？2、组织制定的信息安全方针是否与信息安全目标相一致？3、组织制定的信息安全方针是否可以体现领导的承诺？4、组织制定的方针是否在信息安全管理手册中体现？5、组织制定的方针是否已经传达给全体员工？并且在适当的时候也传达给第三方。
ISO20000-2018信息安全管理体系内部审核检查表
——查人事行政部管理人力资源管理系统，有特殊权限。
各系统管理员应对被授权访问该系统的用户口令予以分配、规定不使用简单口令，口令必须至少要含有6位以上字母+数字。
查：普通用户只能访问被授权的服务，对计算机系统的访问权都被限制。
ISO20000-2018信息安全管理体系内部审核检查表
被审核部门
管理层
审核成员：黄**、梁**
陪同人员：黄**
审核日期
2020年6月30日
审核主题
4.1、4.2、5.1、5.2、5.3、7.1、9.3、A.5.1
核查
要素/条款
核查事项
核查记录
符合项
观察项
不符合项
4．1
4．2
总要求
-详细介绍了公司总体情况，具体见手册企业概况。
有《信息安全资产清单》和《重要信息资产清单》，信息资产包括数据、软件、硬件、服务、文档、设施、人员、相关方。
——《信息资产清单》、《重要信息资产清单》都定义了责任部门或责任人
——提供《用户授权申请表》内容填写符合要求。
——提供了资产归还的记录表。
√
A.8.3.1
A.8.3.2
A.8.3.3
可移动介质的管理
√
9．3
ISMS管理评审
——有制定体系实施以来的第一次管理评审计划。
√
A5.1
信息安全方针文件
信息安全方针文件应由管理者批准、发布并传递给所有员工和外部相关方。
√
被审核部门
研发中心
审核成员：罗**、李**
陪同人员：梁**
ISOIEC27002013信息安全管理体系内部审核检查表
A.6.1
内部组织
A.6.1.1
信息安全的角色和职责
是否所有的组织成员都明确自己的信息安全职责？以及对 自己信息安全职责的明确程度？信息安全职责的分配是否 与信息安全方针文件相一致？
现场观察
A.6.1.2
与监管机构的联系
检查体系制度中，是否明确指定了与监管机构联系的部门或 负责人
现场观察
检查内容详见A5-A18
9
绩效评价
9.1监视、测量、分析和评 价
检查组织是否有体系有效性测量流程
现场观察
9.2内部审核
检查组织是否建立了内审流程
现场观察
检查最新的内审活动，是否包含检查清单、检查过程是否有 效，对不符项的关闭情况
9.3管理评审
检查公司的管评计划
检查公司最新的管评活动记录
10
改进
10.1不符合和纠正措施
检查内容同9.1 9.2
A.5
安全方针
A.5.1
信息安全管理方向
A.5.1.1
信息安全方针
组织是否制定了明确的信息安全方针和目标，这些方针和目 标与公司的业务是否相关。
现场Байду номын сангаас察
A.5.1.2
信息安全方针的评审
获取组织管理评审相关记录，检查管理评审会议中，是否对 信息安全方针的达成情况进行了评审。
A.6
5.2方针
是否有文件化的管理方针
现场观察
5.3
5.3组织角色、职责和权限
是否建立了的信息安全管理组织，并明确其职责及权限
访谈
6
规划
6.1
6.1应对风险和机会的措施
6.1.1总则
检查组织是否建立正式的风险评估流程