名称： isms-audit-expert
描述： 为ISO 27001合规性、安全控制评估和认证支持提供的信息安全管理体系审计
triggers:
- ISMS审计
- ISO 27001审计
- 安全审计
- ISO 27001内部审计
- 安全控制评估
- 认证审计
- 监督审计
- 审计发现
- 不符合项

ISMS审计专家

用于ISO 27001合规性验证、安全控制评估和认证支持的内部及外部ISMS审计管理。

目录

• 审计项目管理
• 审计执行
• 控制评估
• 发现项管理
• 认证支持
• 工具
• 参考资料

审计项目管理

基于风险的审计计划

年度审计计划工作流程

1. 审查以往的审计发现和风险评估结果
2. 识别高风险控制和近期安全事件
3. 根据ISMS边界确定审计范围
4. 指派审计员，确保其独立于被审计领域
5. 创建包含资源分配的审计计划
6. 获取管理层对审计计划的批准
7. 验证点： 审计计划在认证周期内覆盖所有附录A控制项

审计员能力要求

• 具备ISO 27001主任审核员认证（优先）
• 不承担被审计流程的操作职责
• 理解技术安全控制措施
• 了解适用的法规（如GDPR、HIPAA）

审计执行

审计前准备

1. 审查ISMS文档（政策、适用性声明、风险评估）
2. 分析以往的审计报告和未关闭的发现项
3. 制定包含访谈安排的审计计划
4. 通知被审计方审计范围和时间
5. 为范围内的控制项准备检查清单
6. 验证点： 所有文档在首次会议前已接收并审查完毕

审计执行步骤

1. 首次会议
   - 确认审计范围和目标
   - 介绍审计团队和方法论
   - 商定沟通渠道和后勤安排

2. 证据收集
   - 访谈控制项所有者和操作人员
   - 审查文档和记录
   - 观察运行中的流程
   - 检查技术配置

3. 控制验证
   - 测试控制设计（是否应对了风险？）
   - 测试控制运行（是否按预期工作？）
   - 抽样检查交易和记录
   - 记录所有收集到的证据

4. 末次会议
   - 呈现初步发现
   - 澄清任何事实性错误
   - 商定发现项分类
   - 确认纠正措施时间表

5. 验证点： 范围内的所有控制项均已评估，并有证据记录

证据收集方法

控制评估

ISO 27002控制类别

组织控制（A.5）：
- 信息安全策略
- 角色与职责
- 职责分离
- 与监管机构的联系
- 威胁情报
- 项目中的信息安全

人员控制（A.6）：
- 筛选和背景调查
- 雇佣条款与条件
- 安全意识与培训
- 纪律处理流程
- 远程工作安全

物理控制（A.7）：
- 物理安全边界
- 物理入口控制
- 办公室和设施安全
- 物理安全监控
- 设备保护

技术控制（A.8）：
- 用户终端设备
- 特权访问权限
- 访问限制
- 安全认证
- 恶意软件防护
- 漏洞管理
- 备份与恢复
- 日志记录与监控
- 网络安全
- 密码技术

控制测试方法

1. 从ISO 27002确定控制目标
2. 确定测试方法（询问、观察、检查、重新执行）
3. 根据总体数量和风险定义样本量
4. 执行测试并记录结果
5. 评估控制有效性
6. 验证点： 证据支持关于控制状态的结论

发现项管理

发现项分类

发现项文档模板

发现项ID: ISMS-[年份]-[编号]
控制项参考: A.X.X - [控制项名称]
严重程度: [重大/轻微/观察项]

证据:
- [观察到的具体证据]
- [审查的记录]
- [访谈陈述]

风险影响:
- [若不解决可能导致的后果]

根本原因:
- [不符合项发生的原因]

建议:
- [具体的纠正措施步骤]

纠正措施工作流程

1. 被审计方确认发现项及其严重程度
2. 在10天内完成根本原因分析
3. 提交包含目标日期的纠正措施计划
4. 责任方实施措施
5. 审计员验证纠正措施的有效性
6. 提供解决证据后关闭发现项
7. 验证点： 根本原因已解决，防止再次发生

认证支持

第一阶段审计准备

确保文档齐全：
- [ ] ISMS范围声明
- [ ] 信息安全政策（管理层签署）
- [ ] 适用性声明
- [ ] 风险评估方法及结果
- [ ] 风险处置计划
- [ ] 内部审计结果（过去12个月）
- [ ] 管理评审会议纪要

第二阶段审计准备

验证运行就绪情况：
- [ ] 所有第一阶段发现项已解决
- [ ] ISMS已运行至少3个月
- [ ] 控制措施实施的证据
- [ ] 安全意识培训记录
- [ ] 事件响应证据（如适用）
- [ ] 访问审查文档

监督审计周期

验证点： 监督审计中无重大不符合项。

工具

scripts/

审计计划示例

# 生成年度审计计划
python scripts/isms_audit_scheduler.py --year 2025 --output audit_plan.json

# 使用自定义控制项风险评级
python scripts/isms_audit_scheduler.py --controls controls.csv --format markdown

参考资料

审计绩效指标

合规框架整合