信息安全管理体系认证审核员确认方案2完整篇.doc
(完整版)审核员能力
审核员能力监视、内部见证管理办法〈XGQC-ZY-05：2011(第2版)〉北京兴国环球认证有限公司2011年7月8日目录1. 范围 (3)2. 引用文件 (3)3. 总则 (3)4. 职责分工 (3)5. 基本要求 (3)6. 管理与实施要求 (4)7. 审核员初始能力评价的现场见证要求 (5)8. 监视、见证信息管理 (7)前言为了深入贯彻《中华人民共和国认证认可条例》、《认证及认证培训、咨询人员管理办法》（质检总局令第61号）、《管理体系认证机构要求》CNAS-CC01:2011，进一步加强对审核员的管理、监督和考核，降低认证工作的风险，规范审核员的行为，提高其执业水平和从事认证活动的能力，保证认证活动的有序、有效，为受审核组织提供优质的服务。
结合本公司的实际情况，特制定本办法。
注：1.本文所述“见证”均属“内部见证”范畴。
2.本文所述“审核员”包括审核员和高级审核员，不包括实习审核员。
3.本文替代了“XGQC-ZY-05：2011(第1版)审核人员能力监视、见证管理办法（修订稿）”。
1.范围本办法适用于公司所有审核员，包括新晋级（含体系扩展）、外机构转入、专业扩展的审核员，和初次承担初审/再认证审核组长的审核员。
2.引用文件AS-CC01：2011《管理体系认证机构认可要求》AS-GC11：2011《质量管理体系认证机构业务范围能力管理实施指南》AS-GC12：2011《环境管理体系认证机构业务范围能力管理实施指南》AS-GC13：2011《职业健康安全管理体系认证机构业务范围能力管理实施指南》2.5.XGQC能力分析评价系统（2011版）3.总则3.1.本办法主要规定了对审核员的初始能力评价见证和审核员能力持续监视管理见证要求，使现场见证、审核资料评定结果、相关的反馈信息相结合，确保审核员具备通用的审核知识与技能以及特定技术领域审核所需的能力，并识别培训需求。
明确了监视、见证的管理部门，见证人员的条件，以及监视、见证的管理实施过程。
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识考试题目含解析
2024年第二期CCAA注册ISMS信息安全管理体系审核员知识考试题目一、单项选择题1、《互联网信息服务管理办法》现行有效的版本是哪年发布的？()A、2019B、2017C、2016D、20212、当发生不符合时，组织应（）。
A、对不符合做出处理，及时地：采取纠正，以及控制措施；处理后果B、对不符合做出反应，适用时：采取纠正，以及控制措施：处理后果C、对不符合做出处理，及时地：采取措施，以控制予以纠正；处理后果D、对不符合做出反应，适用时：采取措施，以控制予以纠正；处理后果3、（）是建立有效的计算机病毒防御体系所需要的技术措施A、补丁管理系统、网络入侵检测和防火墙B、漏洞扫描、网络入侵检测和防火墙C、漏洞扫描、补丁管理系统和防火墙D、网络入侵检测、防病毒系统和防火墙4、TCP/IP协议层次结构由（）A、网络接口层、网络层组成B、网络接口层、网络层、传输层组成C、网络接口层、网络层、传输层和应用层组成D、其他选项均不正确5、在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级A、3B、4C、5D、66、一家投资顾问商定期向客户发送有关经新闻的电子邮件，如何保证客户收到资料没有被修改（）A、电子邮件发送前，用投资顾问商的私钥加密邮件的HASH值B、电子邮件发送前，用投资顾何商的公钥加密邮件的HASH值C、电子邮件发送前，用投资项问商的私钥数字签名邮件D、电子邮件发送前，用投资顾向商的私钥加密邮件7、管理者应（）A、制定ISMS方针B、制定ISMS目标和专划C、实施ISMS内部审核D、确保ISMS管理评审的执行8、管理员通过桌面系统下发IP、MAC绑定策略后，终端用户修改了IP地址，对其的处理方式不包括(）A、自动恢复其IP至原绑定状态B、断开网络并持续阻断C、弹出提示街口对其发出警告D、锁定键盘鼠标9、物理安全周边的安全设置应考虑：（）A、区域内信息和资产的敏感性分类B、重点考虑计算机机房，而不是办公区或其他功能区C、入侵探测和报警机制D、A+C10、可用性是指（）A、根据授权实体的要求可访问和利用的特性B、信息不能被未授权的个人，实体或者过程利用或知悉的特性C、保护资产的准确和完整的特性D、反映事物真实情况的程度11、公司A在内审时发现部分员工计算机开机密码少于6位，公司文件规定员工计算机密码必须6位及以上，那么中哪一项不是针对该问题的纠正措施？()A、要求员工立即改正B、对员工进行优质口令设置方法的培训C、通过域控进行强制管理D、对所有员工进行意识教育12、对于较大范围的网络，网络隔离是（）A、可以降低成本B、可以降低不同用户组之间非授权访问的风险C、必须物理隔离和必须禁止无线网络D、以上都对13、完整性是指()A、根据授权实体的要求可访问的特性B、信息不被未授权的个人实体或过程利用或知悉的特性C、保护资产准确和完整的特性D、保护资产保密和可用的特性14、审核抽样时，可以不考虑的因素是(）A、场所差异B、管理评审的结果C、最高管理者D、内审的结果15、信息安全管理中，支持性基础设施指：（）A、供电、通信设施B、消防、防雷设施C、空调及新风系统、水气暖供应系统D、以上全部16、构成风险的关键因素有（）A、人、财、物B、技术、管理和操作C、资产、威胁和弱点D、资产、可能性和严重性17、组织应（）A、定义和使用安全来保护敏感或关键信息和信息处理设施的区域B、识别和使用安全来保护敏感或关键信息和信息处理设施的区域C、识别和控制安全来保护敏感或关键信息和信息处理设施的区域D、定义和控控安全来保护敏感或关键信息和信息处理设施的区域18、依据GB/T22080-2016/1SO/1EC.27001:2013标准，不属于第三方服务监视和评审范畴的是（）。
ISMS信息安全管理体系审核考前点题卷二(题库)
ISMS信息安全管理体系审核考前点题卷二（题库）[单选题]1.信息安全管理体系审核范围的确定需考（江南博哥）虑（）A.业务范围和边界B.组织和物理范围边界C.资产和技术范围和边界D.以上全部参考答案：D[单选题]2.确定资产的可用性要求须依据：A.授权实体的需求B.信息系统的实际性能水平C.组织可支付的经济成本D.最高管理者的决定参考答案：A[单选题]3.下列不属于GB/T22080-2016/ISO/IEC27001:2013附录A中A8资产管理规定的控制目标的是（）A.资产归还B.资产分发C.资产的处理D.资产清单参考答案：B[单选题]4.关于认证机构的每次监督审核应至少审查的内容，以下说法错误的是（）A.ISMS在实现客户信息安全方针的目标的有效性B.所确定的控制措施的变更，但不包括SOA的变更C.合规性的定期评价与评审情况D.控制措施的实施和有效性参考答案：B[单选题]5.信息安全管理体系认证是：（）。
A.与信息安全管理体系有关的规定要求得到满足的证实活动B.对信息系统是否满足有关的规定要求的评价C.信息安全管理体系认证不是合格评定活动D.是信息系统风险管理的实施活动参考答案：A[单选题]6.下列哪项不属于信息安全风险评估过程。
（）A.识别信息安全风险B.处置信息安全风险C.分析信息安全风险D.评价信息安全风险参考答案：B[单选题]7.信息安全管理体系审核时，为了获取审核证据，应考虑的信息源为（）A.受审核方的业务系统相关的活动和数据B.受审核方场所中己确定为信息安全管理体系范围内的相关过程和活动C.受审核方申请信息安全管理体系认证范围内的业务过程和活动D.以上全部参考答案：C[单选题]8.系统备份与普通数据备份的不同在于，它不仅备份系统中的数据，还备份系统中安装的应用程序，数据库系统、用户设置、系统参数等信息，以便迅速（）A.恢复全部程序B.恢复网络设置C.恢复所有数据D.恢复整个系统参考答案：D[单选题]9.GB/T22080-2016标准中要求保护“测试数据”，以下符合这一要求的情况是（）A.确保使用生产环境数据用于测试时真实、准确B.确保对信息系统测试所获得的数据的访问控制C.对用于信息系统测试的数据进行匿名化处理D.以上全部参考答案：B[单选题]10.包含储存介质的设备的所有项目应进行核查，以确保在处置之前，（）和注册软件己被删除或安全地覆盖A.系统软件B.游戏软件C.杀毒软件D.任何敏感信息参考答案：D[单选题]11.表示客体安全级别并描述客体敏感性的一组信息，是（）A.敏感性标记，是可信计算机基中强制访问控制决策的依据B.关键性标记，是可信计算机基中强制访问控制决策的依据C.关键性等级标记，是信息资产分类分级的依据D.敏感性标记，是表明访问者安全权限级别参考答案：A[单选题]12.不属于WEB服务器的安全措施的是（）A.保证注册帐户的时效性B.删除死帐户C.强制用户使用不易被破解的密码D.所有用户使用一次性密码参考答案：D[单选题]13.末次会议包括（）A.请受审核方确认不符合报告、并签字B.向受审核方递交审核报告C.双方就审核发现的不同意见进行讨论D.以上都不准确参考答案：C[单选题]14.认证审核时，审核组应（）A.在审核前将审核计划提交受审核方，并与受审核方进行沟通得到确认B.在审核中将审核计划提交受审核方，并与受审核方进行沟通得到认定C.在审核后将审核计划提交受审核方，并与受审核方进行沟通得到确认D.在审核后将审核计划提交受审核方，并与受审核方进行沟通得到认可参考答案：A[单选题]15.认证审核时，审核组拟抽查的样本应（）A.由受审核方熟悉的人员事先选取，做好准备B.由审核组明确总体并在受控状态下独立抽样C.由审核组和受审核方人员协商抽样D.由受审核方安排的向导实施抽样参考答案：B[单选题]16.对于“监控系统”的存取与使用，下列正确的是（）A.监控系统所产生的记录可由用户任意存取B.计算机系统时钟应予同步C.只有当系统发生异常事件及其他安全相关事件时才需进行监控D.监控系统投资额庞大，并会影响系统效能，因此可以予以暂时省略参考答案：B[单选题]17.开发、测试和（）设施应分离，以减少未授权访问或改变运行系统的风险。
CCAA2018年6月信息技术服务管理体系(ITSMS)审核知识试卷(WORD版含答案)
CCAA2018年6月信息技术服务管理体系(ITSMS)审核知识试卷(WORD版含答案)___（CCAA）于2018年6月进行了信息技术服务管理体系（ITSMS）审核知识试卷。
考试时间为120分钟，考试形式为笔试闭卷，满分为12分。
考生需要在试卷密封线内填写自己的姓名、身份证号、准考证号，并在试卷指定位置写下答案，同时务必填写座位号。
1、关于ITSMS范围的确定，正确的说法是要考虑业务活动和过程及其边界，组织单元、组织的物理位置以及组织的资产和技术。
2、ISO/IEC -1:2011中所指的内部团体是指IT服务提供方组织内，除IT服务交付团队的所有其他职能部门，以及按项目划分的不同服务交付团队和按与服务交付团队的协议参与服务设计等活动的职能部门。
3、从审核开始直到审核完成，管理者代表、审核方案人员、认证机构和审核组长都应对审核的实施负责。
4、在IT服务管理中，变更管理过程应予以管理的范围包括与供方的合同的变更、用于IT服务连续性目的、部件升级以及对依赖IT服务的业务过程的变更。
事件中为复原一项服务需要紧急更换一个CPU不属于变更管理过程应予以管理的范围。
5、第三方认证审核时确定审核范围的程序是组织提出、与审核组协商、认证机构确认、认证合同规定。
6、对于个人信息的使用，除法律法规另有规定外，应得到个人信息主体的同意并按约定时间及时删除。
7、从审核中获得的审核证据、不符合项、合理化建议和审核发现应作为受审核组织的管理体系的持续改进过程的输入。
8、在认证审核时，审核组应随着审核的进展与受审核方共同确认审核计划，并将审核计划提交审核委托方批准方可。
9、关于第三方认证审核报告的正确说法是：B）一阶段审核结论不能确认认证注册，因此不一定提交审核报告。
10、当问题管理流程找到一个事件的真实原因和解决的方法，该问题应分类为（）：C）已知问题。
11、对于第三方服务提供方，正确的描述是：B）应定期度量和评价第三方遵从商定的安全策略和服务水平的程度。
20176月信息技术服务管理体系审核员考试试题与答案解析(审核部分)
CCAA信息安全管理体系审核员考试（审核知识与技能）姓名：身份证号：单位名称：考试日期：年月日类别单选题多选题阐述题案例分析题总得分得分阅卷人签字备注复核人签字备注一、单项选择题( 从下面各题选项中选出一个最恰当的答案，并将相应字母填在下表相应位置中。
每题 1分，共40 分。
)题号 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 答案 B D C A B C D B A D B A C B D A C A D A题号21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 答案 B D B D D B C D A D B A D C B B C C D A题号 1 2 3 4 5考点 4.1a 4.1a 4.1a 4.1a 4.1a难度 3 4 3 3 2题号 6 7 8 9 10考点 4.1a 4.1a 4.1a 4.1a 4.1a难度 3 3 3 3 33题号11 12 13 14 15考点 4.1a 4.1a 4.1a 4.1a 4.1a难度 3 2 3 2 3题号16 17 18 19 20考点 4.1a 4.1a 4.1a 4.1a 4.1a难度 3 3 4 3 3题号21 22 23 24 25考点 4.1b 4.1b 4.1b 4.1b 4.1c难度 3 3 3 3 3题号26 27 28 29 30考点 4.2a 4.2a 4.2b 4.2b 4.2b难度 3 3 3 3 3题号31 32 33 34 35考点 4.2b 4.2b 4.2b 4.2b 4.2b难度 3 3 3 3 3题号36 37 38 39 40考点 4.3 4.3 4.3 4.3 4.3难度 3 4 3 3 3 备注：考点描述按考试大纲的编号给出，其中标准要求部分再添加标准条款号（见上面例子）难度按 5 级划分， 1 级很容易，答题正确率90%以上， 2 级较容易，答题正确率80-90%之间，3 级中等，答题正确率70-80% ，4 级较难，答题正确率50-70%，5 级很难，答题正确率50%以下。
国家注册信息安全管理体系(ISMS)审核员
国家注册信息安全管理体系(ISMS）审核员
培训招生简章
中国信息安全认证中心（China Information Security Certification Center，英文缩写:ISCCC）是经中央编制委员会批准成立，由原国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权,依据国家有关强制性产品认证、信息安全管理的法律法规,负责实施信息安全认证（产品认证、服务资质认证和ISMS、ITSM认证）的专门机构.
中国信息安全认证中心是经国家批准的ISMS审核员、信息安全产品认证工厂检查员、信息安全服务资质认证评审员、信息安全技术培训的专业培训机构.
国家注册ISMS审核员是国家认可的ISMS认证审核执业资格，从事和提供第三方ISMS认证的认证机构必须具备规定数量的国家注册ISMS审核员.另外,ISMS审核员也是一个组织中不可缺少的、重要的信息安全岗位,其职责是持续评审组织ISMS的符合性，以保证组织的信息安全符合法规、标准和业务的要求。
为各类人员对培训的需求,我们将定期举办ISMS审核员培训班，欢迎报名参加。
培训班的培训与考试内容、时间与方式见附件.
报名回执：
国家注册ISMS 审核员培训班报名表
注:
1。
学员报名条件按国家ISMS 注册审核员注册基本要求执行(见CCAA网站中人员注册—新领域确认-关于发布《信息安全管理体系认证审核员确认方案的》通知）。
2。
请随回执一并提交480＊640的数码登记照。
3。
回执请联系:
徐然
北京市朝外大街甲10号中认大厦,100020
中国信息安全认证中心
电话：010-******** 传真:010—65994283 电子邮件：training＠isccc。
2019年05月ISMS信息安全管理体系审核员考试试题(网友回忆版)
2019年05月ISMS信息安全管理体系审核员考试试题（网友回忆版）[单选题]1.下列中哪个活动是（江南博哥）组织发生重大变更后一定要开展的活动？（）A.对组织的信息安全管理体系进行变更B.执行信息安全风险评估C.开展内部审核D.开展管理评审参考答案：B[单选题]3.对于外部方提供的软件包，以下说法正确的是：（）A.组织的人员可随时对其进行适用性调整B.应严格限制对软件包的调整以保护软件包的保密性C.应严格限制对软件包的调整以保护软件包的完整性和可用性D.以上都不对参考答案：D[单选题]5.从计算机安全的角度看，下面哪一种情况是社交工程的一个直接例子？（）A.计算机舞弊B.欺骗或胁迫C.计算机偷窃D.计算机破坏参考答案：B[单选题]6.当获得的审核证据表明不能达到审核目的时，审核组长可以（）A.宣布停止受审核方的生产/服务活动B.向审核委托方和受审核方报告理由以确定适当的措施C.宣布取消末次会议D.以上各项都不可以参考答案：B[单选题]7.在我国《信息安全等级保护管理办法》中将信息系统的安全等级分为（）级。
A.3B.4C.5D.6参考答案：C[单选题]8.假如某人向一台远程主机发送特定的数据包，却不想远程主机响应其的数据包，说明此人能使用的是下列哪一种类型的攻击手段？（）A.特洛伊木马B.地址欺骗C.缓冲区溢出D.拒绝服务参考答案：B[单选题]9.控制影响信息安全的变更，包括（）A.组织、业务活动、信息及处理设施和系统变更B.组织、业务过程、信息处理设施和系统变更C.组织、业务过程、信息及处理设施和系统变更D.组织、业务活动、信息处理设施和系统变更参考答案：B[单选题]10.第三方认证审核时确定审核范围的程序是：（）A.组织提出、与审核组协商、认证机构确认、认证合同规定B.组织申请、认证机构评审、认证合同规定、审核组确认C.组织提出、与咨询机构协商、认证机构确认D.认证机构提出、与组织协商、审核组确认、认证合同规定参考答案：B[单选题]11.以下描述不正确的是（）A.防范恶意和移动代码的目标是保护软件和信息的完整性B.纠正措施的目的是为了消除不符合的原因，防止不符合的再发生C.风险分析、风险评价、风险处理的整个过程称为风险管理D.控制措施可以降低安全事件发生的可能性，但不能降低安全事件的潜在影响参考答案：D[单选题]12.ISMS管理评审的输出应包括（）A.可能影响ISMS的任何变更B.以往风险评估没有充分强调的脆弱点或威胁C.风险评估和风险处理计划的更新D.改进的建议参考答案：D[单选题]13.《信息安全管理体系认证机构要求》中规定，第二阶段审核（）进行A.在客户组织的场所B.在认证机构以网络访问的形式C.以远程视频的形式D.以上都对参考答案：A[单选题]14.审核员在信息安全控制措施评审过程中采用的评审方法不包括（）。
管理体系审核报告(第二阶段、监督、再认证、扩项等)(质量、环境、安全通用)
审核报告说明1. 一般规定a) 审核报告表述应清晰、完整、准确；错误之处不得遮盖，划改后由审核组长签名确认。
b) 审核组长应与组员共同评审审核发现，做出审核结论，对审核报告的内容负责。
2．适用范围本报告适用于质量（含党建、建工）、环境、职业健康安全管理体系。
本报告适用于初审二阶段、再认证、监督、扩大、缩小、审核标准换版审核；适用于结合监督进行的对获证客户发生重大投诉或事故事件（如被执法监管部门责令停业整顿或在全国企业信用信息公示系统中被列入“严重违法企业名单”、被国家质量监督检验检疫总局列入质量信用严重失信企业名单、媒体曝光等）调查审核，国家行政主管部门监督抽查/监测、检查中被查出产品和服务及活动不合格/不符合时进行的监督审核；适用于结合监督进行的暂停恢复审核。
3. 本报告中的评价如引用有关文件、记录、资料时，所引用的有关内容应作为审核报告附件。
4.本报告中带括号的灰色斜体字是编制审核报告提示说明，编制报告时删除。
5．作出认证决定后30个工作日内将审核报告、认证证书一并提交申请组织，并保留签收或提交的证据。
6．各管理体系名称统一使用以下简称来代替：质量管理体系：QMS工程建设施工企业质量管理体系：EC9000中国共产党基层组织建设质量管理体系：PC9000环境管理体系：EMS职业健康安全管理体系：OHSMS一、审核过程综述受审核方名称：住所：认证地址：（提示：可能是经营、办公、生产/服务、活动地址）场所说明：上述地址为单一场所受审核组织多场所详见“认证场所清单”（提示：对多名称组织，应说明组织结构与认证责任、产品责任的相互关系（监督、再认证无变化时，可不必再提供）；多场所管控方式方法；确认分场所信息。
填写不下时，可另附页。
）QMS（PC9000 EC9000）/（提示：此处填写审核类型，下同）/GB/T 19001-( ) ISO9001:2015 GB/T50430-( )EMS/ / GB/T 24001-( )OHSMS/ / GB/T 28001-2011/ /（提示：1.审核类型包括：二阶段、再认证、监督、扩大、缩小、审核标准换版、结合监督进行的事故调查审核、结合监督进行的暂停恢复等；2.审核类型中监督审核应注明第几次审核；）初次审核，确认其管理体系是否符合审核准则的要求并运行有效，决定是否推荐其认证注册；再认证审核，确认管理体系作为一个整体的持续符合性和有效性，以及与认证范围的持续相关性和适宜性，评价是否持续满足审核准则要求，决定是否推荐再注册；监督审核，评价管理体系持续符合性和有效性，以确定是否推荐保持认证；扩大/缩小/审核标准换版/变更，评价受审核方管理体系扩大/缩小/审核标准换版/变更后的管理体系符合性和有效性，是否推荐换发证书；暂停恢复，评价证书暂停原因是否已经消除，以确定是否推荐恢复认证资格；单一体系审核结合审核联合审核现场非现场详见首、末次会议签到表1. 审核实施是否按审核计划进行：是；否计划调整理由说明审核中是否遇到不确定因素和（或）障碍对审核结论可靠性影响情况：否；是说明（提示：1）任何偏离审核计划的情况及其理由，包括但不限于审核员更换说明，审核中所涉及的范围与计划安排的差异说明等；对审核风险及影响审核结论的不确定性的客观陈述；2 )适用时，审核中遇到的不确定因素和（或）障碍。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全管理体系认证审核员确认方案7第
2页
书复印件；
●审核经历（适用于高级审核员申请人）。
（3）申请人应按CCAA-201《认证人员注册、培训认可收费规则》缴纳相应费用。
3．评价
CCAA对认证机构的相关证明和文件进行审核，确认机构的申报资格；
CCAA评价人员对申请人的申请资料进行评价，提出确认意见；
CCAA注册部负责人审查评价过程和确认意见，作出确认决定；
CCAA秘书长批准确认决定并签发确认文件。
五、确认结果
CCAA将向申报机构发送审核人员资格确认文件。
确认资格自确认文件批准之日起生效，有效期3年；出现以下情况时，有效期自动终止，确认资格即行失效：
●确认人员与申报机构解除聘用关系；
●确认人员违反法律法规、认证规范文件和审核员行为准则，经CCAA查实的；
●CCAA建立覆盖确认业务范围的审核员注册制度满3个月后。
附件2：
CCAA认证人员确认申请表
姓名及拼音性别
出生日期年月日身份证号码
确认项目（适用时）确认级别
专业范围（适用时）
CCAA注册证书号（适用时）注册日期年月日工作单位职称
聘用机构聘用方式专职兼职通讯地址邮政编码
联系人电话/ 传真
教育/培训经历
时间院校/培训机构专业/培训内容学历学位/证书编号
工作经历
从年/月到年/月工作单位（名称、地址、联系人、
电话、传真）部门及
职务
主要工作任务
（请详述）
专业工作经历
从年/月到年/月工作单位（名称、地址、联系人、
电话、传真）部门及
职务
主要工作任务
（请详述）
贴
照
片
处
个人声明
本人保证申请表中所填写内容及所附材料真实，承认CCAA 有权为了保证真实性和准确性而验证本人所有的声明（包括所提交的材料），并自愿遵守CCAA确认要求和行为准则。
申请人：年月日聘用机构推荐意见：
本机构确认申请人为本机构聘用人员。
经本机构按照机构建立的相应的认证人员评价制度进行评价，认为申请人具备从事相应认证工作的能力，以上申报内容属实，向CCAA推荐资格确认。
聘用机构负责人：（公章）
年月日CCAA评价人员意见：
符合CCAA相应确认方案的要求，建议确认
不符合要求，建议不予确认
评价人员（签字）：年月日CCAA确认决定意见：
确认不予确认
人员注册部负责人（签字）：年月日
信息安全管理体系认证审核员确认方案7 中国认证认可协会
中认协注[2007]155号
关于发布信息安全管理体系认证审核员
确认方案的通知
各有关机构：
根据国家认监委信息安全管理体系认证工作的安排，为满足信息安全管理体系认证的需要，中国认证认可协会制定了《信息安全管理体系认证审核员确认方案》（见附件），现将该方案印发你们，请遵照执行。
附件：1.《信息安全管理体系认证审核员确认方案》
2.《CCAA认证人员确认申请表》
（附件文件也可在CCAA网站查看下载。
）
二○○七年九月十一日
附件1：
信息安全管理体系认证审核员确认方案
一、目的
为满足国家质量监督检验检疫总局《认证及认证培训、咨询人员管理办法》（总局令2004年第61号）第六条“属于认证及认证培训、咨询新领域、国家尚未建立执业资格注册制度的，由相应认证及认证培训、咨询机构建立执业人员评价制度，并统一向中国认证人员与培训机构国家认可委员会申请办理相关人员
执业资格的确认，未经确认的，不得从事相关活动”规定的要求，中国认证认可协会（CCAA）根据《新领域认证及认证培训、咨询人员确认程序规则》的有关规定，制定本确认方案。
二、确认范围与级别
1.本方案适用于信息安全管理体系（以下简称ISMS）审核员的确认。
2.确认分ISMS审核员和ISMS高级审核员两个级别。
三、确认要求
（一）对确认申请人推荐机构的要求
1．经CNCA批准的认证机构；
2．具有CNCA批准的信息安全管理体系认证业务范围；
3．建立了满足认证工作需求的质量管理体系；
4．建立了与所从事的认证活动相适应的信息安全管理体系认证人员选择、培训、评价、聘用和管理的制度或程序并形成文件；
5．按照机构建立的评价制度对申请确认人员作出客观评
价并形成记录。
（二）对确认申请人员的基本要求
1.个人素质
申请人应具备以下个人素质：
●有道德：公正、可靠、忠诚、诚实和谨慎；
●思想开明：愿意考虑不同意见或观点；
●善于交往：灵活地与人交往；
●善于观察：主动地认识周围环境和活动；
●有感知力：能本能地了解和理解环境；
●适应力强：容易适应不同情况；
●坚韧不拔：对实现目的坚持不懈；
●明断：根据逻辑推理和分析及时得出结论；
●自立：在同其他人交往中独立工作并发挥作用。
2.行为准则
经确认的ISMS审核员有义务严格遵守以下行为准则：
●遵纪守法、敬业诚信、客观公正；
●努力提高审核技能和信誉；
●帮助其监督管理的人员提高管理水平、专业和审核技能；
●不承担本人不具备能力的审核；
●不介入冲突或利益竞争，不向审核员聘用机构隐瞒任何可能影响公正判断的关系；
●除非审核员聘用机构和受审核方书面授权或有法律要求，不讨论或透露任何有关审核的信息；
●不接受受审核方及其工作人员或任何相关方的回扣、礼品及其他任何形式的好处，也不应在知情时允许同事接受；
●不有意传播任何错误的或易产生误解的信息，以防影响审核或审核员注册/确认过程的信誉；
●在任何情况下，不损坏CCAA及其注册/确认过程的声誉，与针对违背本准则的行为而进行的调查给予充分的合作；
●不对受审核方既进行咨询又进行认证审核。
3.教育经历
申请人应具有国家承认的大学本科以上（含）学历。
4.工作经历
申请人应具有至少4年工作经历。
工作经历应是在取得大学本科以上（含）学历之后获得的。
5.专业工作经历
申请人在全部工作经历中应具有至少2年与信息安全相关的工作经历。
专业工作经历与工作经历可以同时发生。
注：信息安全相关工作经历包括信息安全管理工作（如ISMS
的研究、实施、运作、咨询、审核、教学经历），信息安全技术工作（如信息安全科研教学、工程设计与实施、产品研发与测试和网络管理工作等）。
其中：ISMS的实施经历是指组织中业务管理部门的人员和组织中信息安全管理体系实施部门的负责人具体实施管理体系的经历。
ISMS的运作经历指组织中最高管理层、信息安全主管部门的人员策划、运行信息的经历。
6．培训经历
申请人应完成不少于40小时的ISMS审核员培训；
审核员培训机构应经CNCA批准，其课程和教师应符合CCAA 的确认要求或通过CCAA培训课程的确认。
CCAA确认要求和程序详见《信息安全管理体系审核员培训课程确认方案》（国认协〔2006〕14号）。
注：申请人参加境外培训机构的培训，按CCAA相关规定办理。
7．信息安全审核经历或等同要求
ISMS审核员申请人无审核经历要求；
ISMS高级审核员申请人应具有至少2次ISMS审核经历，并具有CCAA其他任一领域高级审核员/高级检查员有效注册资格或具有与信息安全相关的高级技术职称。
8．聘用
确认申请人应与申请机构（且仅与此一个机构）建立认证人员聘用关系。
四、确认过程
1.申请：
确认申请应由聘用申请人的认证机构统一向CCAA申报。
2.申报资料
（1）认证机构应提交：
●机构的批准文件复印件
●机构的营业执照复印件
●机构的质量管理体系文件
●与CNCA批准的认证业务范围相应的审核人员评价制度文件。
（2）确认申请人应提交：
●《CCAA认证人员确认申请表》（见附件），申请表应经聘用机构确认；
●学历证明复印件；
●聘用合同复印件；
●聘用机构按照本机构的审核人员评价制度对申请人实施评价过程记录的复印件；
●高级审核员申请人还应提交CCAA高级审核员/高级检查员注册证书复印件，或与信息安全相关的高级技术职称证。