1 审核概论
1.3 审核的内容 1、获得审核证据 2、客观评价
3、确定满足审核准则的程度
1.4 过程评价的四个基本问题
1、过程是否已被识别并适当规定? 2、职责是否已被分配? 3、程序是否得到实施和保持?
4、在实现所要求的结果方面,过程是否有效?
5
1 审核概论
1.5 审核的类型
第一方审核 (内部)
1、明确与审核目标有关的样本 2、使审核程序规范化
3、按检查表的要求进行调查研究,
可使审核目标始终保持明确 4、保持审核进度
5、作为审核记录存档
6、减少重复的或不必要的工作量 7、减少内审员的偏见和随意性
23
2.5 编制检查表
二、检查表的内容 1、列出审核项目的要点(确保完整) 2、明确审核步骤和方法,进行抽样量的设计 注:ISMS所涉及的过程和部门不能抽样,不同
与审核准则有关的并且能够证实的记录、
事实陈述或其他信息。 注:审核证据可以是定性或定量的。
2、在审核中应分清什么可以作为审核证据,什么不可以 作为审核证据。
39
3.4 审核证据
可作审核证据
存在的客观事实或情况
部门负责人或当事人谈话(并有 其他实物旁证)
现行有效文件(审核当前的信息安 全活动)和有效的信息安全记录
2
主要内容
1、审核概论
2、审核策划和准备 3、现场审核活动的实施
4、纠正措施及其跟踪
5、ISMS评价
3
1 审核概论
1.1 定义
为获得审核证据并对其进行客观的评价,以确 定满足审核准则的程度所进行的系统的、独立的 并形成文件的过程
(ISO 9000)
1.2 审核“成败”的关键