ISO27001-2013内审检查表和内审计划

2020年ISO27001-2013信息安全管理体系内审资料原创作者：李柏伦翻版盗卖者必追究责任目录1.信息安全内部审核报告2.内部信息安全管理体系审核方案3.内部信息安全审核计划4.首末次会议记录5.内部信息安全审核检查表6.内部审核记录表（现场）7.内部审核记录表（文件）8.内部审核不符合项报告原创作者：李柏伦翻版盗卖者必追究责ISO27001:2013信息安全管理体系内部审核报告审核目的：检查公司信息安全管理体系是否符合ISO27001:2013的要求及有效运行。

审核依据：ISO27001:2013标准、信息安全手册、程序文件、相关法律法规、合同及适用性声明等。

审核范围：ISO27001:2013手册所要求的相关活动及部门。

审核时间：2020年1月6日1、现场审核情况概述本次审核按信息安全手册及《内部审核管理程序》要求，编制了内审计划及实施计划并按计划进行了实施。

审核小组由4人组成，各分别按要求编制了《内部审核检查表》；内审计划事先也送达受审核部门。

审核组在各部门配合下，按审核计划，分别到部门、现场，采用面谈、现场观察、抽查信息安全体系文件及信息安全体系运行产生的记录等方法，进行了抽样调查和认真细致的检查。

审核组审核了包括管理层、各有关职能部等4个职能部门。

审核员发现的不合格项已向受审部门有关人员指明，并由他们确认，审核员还就不合格项与受审部门商讨了纠正措施和方法。

本次审核共提出不符合报告共4份，其中行政部3项，研发部1项。

所涉及的条款详见《内审不符合项（NC）报告》2、体系综合评价a)最高管理者带动员工对满足顾客和法律法规要求的重要性具有明确的认识，能履行其承诺，管理职责明确，重视并参与对信息安全管理体系的建立、保持和推动持续改进活动。

员工能准确答出公司信息安全方针和目标，体现了全员参与。

但个别职能部门信息安全活动和人员中有责任不到位的情况。

b)建立的信息安全方针和信息安全目标适合于组织的特点，在组织内得到沟通和理解，信息安全目标基本有可测量性；但部分信息安全分目标的适宜性需进一步修改，并应对测算方法作进一步改善；3、审核发现信息安全管理体系文件的建立和实施经现场审核时，其适宜性、充分性和有效性基本满足要求；各部门信息安全体系文件基本能适应各自业务的需求。

1总则为保证公司信息安全管理体系持续有效运行，按照ISO/IEC 27001:2005《信息安全管理体系要求》的要求，依据本公司《信息安全管理手册》及《内部审核管理程序》的规定，制定本《内部审核方案》。

2审核范围2-1本公司信息安全管理体系覆盖的软件开发及外包所需的重要信息系统和服务系统；与所述信息系统有关的活动；与所述信息系统有关的部门和所有正式员工；所述活动、系统及支持性系统包含的全部信息资产。

2-2 组织信息安全管理体系的方法及其实施（例如信息安全的控制目标、控制措施、策略、过程和程序）3审核准则3-1 ISO/IEC 27001:2005《信息安全管理体系要求》；3-2 本公司信息安全管理手册、信息安全方针、信息安全目标及程序；3-3 相关的法律法规及其它要求；4 资源4-1 公司的管理体系内审员-共2名，具备一定的专业知识和信息安全管理体系内审工作能力。

4-2信息安全管理小组组长，经过总经理任命授权，直接领导并主持公司信息安全管理体系的内审工作。

5 内部审核的管理活动首信息安全管理小组组长主持内审工作，公司信息安全内审委员会负责内审的具体事务和资料管理。

公司内审活动包括：5-1 组织内审员学习法规、标准、规范、和体系文件；5-2 制定公司内审计划；5-3 组织内审员做好内审前的准备工作（了解背景资料，写出检查大纲，准备记录表格等）；5-4 内审实施过程（按照内审计划执行）；5-5 内审结果-纠正措施的跟踪与验证；5-6 内审资料的汇总及归档；5-7 将内审报告输入管理评审。

6 内审的时间安排6-1 两次内审之间隔期不得超过12个月；6-2 每年至少进行一次内审；当遇到下列情况时，可以增加内审的次数：一，公司内外情况发生重大变化时；二，局部薄弱环节；三，对于外审的准备。

6-3 每一次内审活动，必须查看相关的现场；当遇到特殊情况时，可以间隔式地安排内审日程。

7 内审方案的评审与更新7-1 内审方案须经评审、批准后，方可实施；7-2 当公司内外环境、采用的管理标准发生变化时，对审核方案须进行更新。

ISO 27001-2013信息安全管理体系内审全套资料（含内审计划、内审检查表、内审报告）东莞市XXXX有限公司2017年度内部审核计划编号：ISMS-4030序号：20170103-1审核目的：验证公司内部信息安全管理体系是否符合要求，为保证质量体系有效运行及不断得到完善提供依据。

审核范围：所有与信息安全管理有关的人员、部门和岗位。

审核依据：ISO27001-2013标准、管理体系文件、适用性声明、有关法律法规、应用软件的开发、系统集成活动和电子验印、票据防伪系统的生产活动说明：1.审核可以按ISO27001-2013标准集中审核，也可以按部门分月份进行审核，但必须覆盖全部信息安全职责部门和岗位，必须符合ISO27001-2013标准.2.计划在某月份被审核的部门，由内审计划编制者在表内对应处作上“√”的符号，表示该部门在某月将被审核。

编制：XXX 审核：批准：日期：2017-1-4 日期：2017-1-4 日期：2017-1-4受审核部门：陪同人员：审核员：审核日期：信息安全管理体系内部审核检查表东莞XXXX有限公司2017年信息安全内审结论报告编号：ISMS-4034状态：受控编制人：日期：审批人：日期：➢审核目的检查公司信息安全管理体系是否符合ISO27001：2013的要求及有效运行。

➢审核依据ISO27001:2013标准、信息安全手册、程序文件、相关法律法规、合同及适用性声明等。

➢审核范围ISO27001:2013手册所要求的相关活动及部门。

➢审核时间2017年12月20日~ 2017年12月22日1、现场审核情况概述本次审核按信息安全手册及《内部审核管理程序》要求，编制了内审计划及实施计划并按计划进行了实施。

审核小组由2人组成，各分别按要求编制了《内部审核检查表》；内审计划事先也送达受审核部门。

审核组在各部门配合下，按审核计划，分别到部门、现场，采用面谈、现场观察、抽查信息安全体系文件及信息安全体系运行产生的记录等方法，进行了抽样调查和认真细致的检查。

ISO27001-2013信息安全管理体系内部审核检查表`被审核部门：审核时间：2020.01.06 编写人：被审核部门代表确认：内审员：管理者代表：审核依据：ISO27001:2013 及法律法规要求条款标题审核问题审核对象审核方式审核结果审核记录4 组织环境4.1 4.1 理解组织及其环境1、组织管理者是否了解组织内部可能会影响信息安全目标实现的风险？2、组织管理者是否了解组织外部环境，包括行业状况、相关法律法规要求、利益相关方要求、风险管理过程风险等？3、组织管理者是否明确组织的风险管理过程和风险准则？4.2 4.2 理解相关方的需求和期望1、组织是否识别了与组织信息安全有关的相关方？2、组织是否明确了这些相关方与信息安全有关要求？（包括法律法规要求和合同要求）4.3 4.3 确定信息安全管理体系的范围1、组织的信息安全管理体系手册中是否有明确管理范围？2、组织的适用性声明，是否针对实际情况做合理删减？3、组织对信息安全管理范围和适用性是否定期评审？4、组织制定的信息安全管理体系是否已经涵盖安全管理活动中的各类管理内容？4.4 4.4 信息安全管理体系1、组织是否建立、实施、保持、持续改进信息安全管理体系制度？2、信息安全制度有安全策略、管理制度、操作规程等构成？5 领导5.1 5.1 领导和承诺1、组织是否制定了明确的信息安全方针和目标，并且这些方针和目标与组织的业务息息相关？2、组织的业务中是否整合了信息安全管理要求？3、组织为实施信息安全管理，是否投入了必要的资源？（人、财、物）4、组织管理者是否在范围内传达了信息安全管理的重要性？5.2 5.2 方针1、组织制定的信息安全方针是否与组织的业务目标相一致？2、组织制定的信息安全方针是否与信息安全目标相一致？3、组织制定的信息安全方针是否可以体现领导的承诺？4、组织制定的方针是否在信息安全管理手册中体现？5、组织制定的方针是否已经传达给全体员工？并且在适当的时候也传达给第三方。