isms-audit-expert

ISMS 审计专家

用于 ISO 27001 合规性验证、安全控制评估和认证支持的内部与外部 ISMS 审计管理。

---

先明确需求

在规划或执行审计之前，请先确定以下输入。如果某项缺失或含糊不清，且会影响结果，请询问；如果不会影响结果，则采用合理的默认值并说明所用默认值。

• 审计类型： 内部年度审计、Stage 1、Stage 2、监督审核或再认证（决定范围和检查清单的深度）。
• 范围内的控制项： 本次审计涉及哪些附录 A 控制项／SoA 覆盖范围（决定日程和测试内容）。
• 风险评级和以往发现： 各控制项的风险及未解决的不符合项（决定审计频率和抽样规模）。

只询问对当前请求最重要的两三项输入，而不是罗列全部问题。如果用户希望立即获得结果，请直接生成结果，并在开头说明所作假设。

审计计划管理

基于风险的审计计划

风险等级	审计频率	示例
严重	每季度	特权访问、漏洞管理、日志记录
高	每半年	访问控制、事件响应、加密
中	每年	策略、意识培训、物理安全
低	每年	文档、资产清单

工作流：年度审计规划

1. 审查以往审计结果 -- 分析最近一个周期的以往发现、未完成事项和风险评估结果。
2. 识别高风险控制项 -- 标记涉及近期安全事件或存在未解决不符合项的控制项。
3. 确定审计范围 -- 界定 ISMS 边界，并确认认证周期内的适用性声明（SoA）覆盖范围。
4. 指派审计员 -- 确保审计员独立于被审计领域；核实审计员的能力（优先选择通过 ISO 27001 主任审核员认证的人员）。
5. 制定审计计划 -- 分配资源、确定日期，并根据风险优先级将审计安排到全年。
6. 获得管理层对最终审计计划的批准。
7. 验证检查点： 审计计划在认证周期内覆盖全部 93 项附录 A 控制项；审计计划已获管理层批准；已确认审计员的独立性。

示例：年度审计计划输出

ISMS AUDIT PLAN 2026

Prepared by: Information Security Manager
Approved by: CISO
Date: 2026-01-15

Q1 2026 (January-March)
  Scope: Privileged access (A.8.2, A.8.18), Logging (A.8.15, A.8.16)
  Auditor: External consultant (independence required)
  Risk level: Critical

Q2 2026 (April-June)
  Scope: Access control (A.8.3-A.8.5), Incident response (A.5.24-A.5.28)
  Auditor: Internal audit team
  Risk level: High

Q3 2026 (July-September)
  Scope: Physical security (A.7.1-A.7.14), HR security (A.6.1-A.6.8)
  Auditor: Internal audit team
  Risk level: Medium

Q4 2026 (October-December)
  Scope: Policies (A.5.1-A.5.8), Asset management (A.5.9-A.5.14)
  Auditor: Internal audit team
  Risk level: Medium-Low

Coverage: 93/93 Annex A controls scheduled across 4 quarters

---

审计执行

工作流：审计前准备

1. 审查 ISMS 文档 -- 策略、适用性声明、风险评估和风险处置计划。
2. 分析以往审计报告 -- 记录未解决的发现以及需要跟进的领域。
3. 准备审计计划 -- 确定访谈日程、控制项抽样和证据要求。
4. 通知被审计方 -- 至少提前 2 周告知审计范围、时间安排和所需文档。
5. 为所有范围内的控制项准备专项检查清单。
6. 验证检查点： 在首次会议前已收到并审查所有文档。

工作流：开展审计

1. 首次会议 -- 确认范围，介绍审计团队，商定沟通渠道和后勤安排。
2. 收集证据 -- 访谈控制责任人，审查文档和记录，观察流程的实际运行情况，并检查技术配置。
3. 验证控制项 -- 测试控制设计（是否针对相关风险？），测试控制运行情况（是否按预期有效运行？），抽查交易和记录，并记录所有证据。
4. 结束会议 -- 呈报初步发现，澄清事实错误，商定发现分类，并确认纠正措施的时间安排。
5. 验证检查点： 已通过记录在案的证据评估所有范围内的控制项；已对发现进行分类并予以沟通。

证据收集方法

方法	用例	示例
询问	了解流程	访谈安全经理，了解事件响应流程
观察	运营验证	观察接待处的访客签到流程
检查	文档审查	检查上季度的访问审批记录
重新执行	控制测试	尝试使用弱密码登录，以验证策略是否得到执行

---

控制评估

ISO 27002 控制类别

组织控制（A.5）： 信息安全策略、角色与职责、职责分离、与主管部门联系、威胁情报、项目中的信息安全。

人员控制（A.6）： 筛查与背景调查、雇佣条款、安全意识与培训、纪律流程、远程办公安全。

物理控制（A.7）： 物理安全边界、出入控制、办公室与设施安全、物理安全监控、设备保护。

技术控制（A.8）： 用户终端设备、特权访问权限、访问限制、安全身份验证、恶意软件防护、漏洞管理、备份与恢复、日志记录与监控、网络安全、密码技术。

工作流：控制测试

1. 根据相关 ISO 27002 条款确定控制目标。
2. 确定测试方法——根据控制类型，采用询问、观察、检查或重新执行。
3. 确定样本量——根据总体规模和风险等级确定（例如，季度访问审查抽取 25 个样本，年度策略审查抽取 5 个样本）。
4. 执行测试，并记录结果及具体证据引用。
5. 评估控制有效性——有效、部分有效或无效。
6. **验证检查点：**证据支持结论；如果控制未完全有效，则记录发现。

示例：控制测试工作底稿

CONTROL TEST WORKING PAPER

Control: A.8.2 - Privileged access rights
Objective: Privileged access is restricted and managed
Test date: 2026-03-10
Auditor: J. Smith

Test procedure:
  1. Obtained list of privileged accounts from IAM system (42 accounts)
  2. Selected sample of 10 accounts (25% sample rate)
  3. For each account, verified:
     - Documented business justification exists
     - Manager approval on file
     - Quarterly access review completed
     - No dormant accounts (last login within 90 days)

Results:
  - 8/10 accounts: All criteria met (PASS)
  - 1/10: Missing quarterly review for Q4 2025 (MINOR NC)
  - 1/10: No documented business justification (MINOR NC)

Conclusion: Control partially effective - minor nonconformity raised
Finding reference: ISMS-2026-007

---

发现管理

发现分类

严重程度	定义	响应时间
主要不符合项	控制失效，造成重大风险	30 天
次要不符合项	影响有限的个别偏差	90 天
观察项	改进机会	下一审计周期

发现记录模板

Finding ID: ISMS-2026-007
Control Reference: A.8.2 - Privileged access rights
Severity: Minor Nonconformity

Evidence:
- 1 of 10 sampled privileged accounts missing Q4 2025 review
- 1 of 10 sampled accounts lacks documented business justification
- Screenshots of IAM records and review log exported 2026-03-10

Risk Impact:
- Unreviewed privileged access increases insider threat exposure
- Non-justified accounts may represent unnecessary attack surface

Root Cause:
- Access review process relies on manual tracking; no automated reminder

Recommendation:
- Implement automated quarterly review reminders via IAM platform
- Require business justification field as mandatory in provisioning workflow
- Backfill missing reviews within 14 days

工作流：纠正措施

1. 受审方确认发现及其严重程度分类。
2. 在 10 个工作日内完成根因分析。
3. 提交纠正措施计划，列明目标日期和责任人。
4. 由责任方按照计划实施措施。
5. 审计员验证有效性——使用新的证据重新测试控制。
6. 关闭发现，并记录解决问题的证据。
7. **验证检查点：**已解决根因；已防止问题复发；已存档纠正措施有效的证据。

---

认证支持

第一阶段审计准备清单

• 确定 ISMS 范围声明
• 信息安全策略（已由管理层签署）
• 完成适用性声明（SoA）
• 已记录风险评估方法与结果
• 风险处置计划为最新版本
• 可查阅内部审计结果（过去 12 个月）
• 已存档管理评审会议纪要

第二阶段审计准备清单

• 已处理并关闭所有第一阶段发现
• ISMS 已运行至少 3 个月
• 所有 SoA 控制均有实施证据
• 所有人员的安全意识培训记录
• 事件响应证据（如发生过事件）
• 审计期间的访问审查文档

监督审计周期

时期	重点
第 1 年，第 2 季度	高风险控制、第二阶段发现的后续跟进
第 1 年，第 4 季度	持续改进、控制抽样
第 2 年，第 2 季度	全面监督审计
第 2 年，第 4 季度	再认证准备

---

工具

脚本	用途	用法
isms_audit_scheduler.py	生成基于风险的审计计划	python scripts/isms_audit_scheduler.py --year 2026 --format markdown

# Generate annual audit plan
python scripts/isms_audit_scheduler.py --year 2026 --output audit_plan.json

# With custom control risk ratings
python scripts/isms_audit_scheduler.py --controls controls.csv --format markdown

# Generate plan for specific quarters only
python scripts/isms_audit_scheduler.py --year 2026 --quarters Q1 Q2 --format json

---

参考资料

文件	内容
iso27001-audit-methodology.md	审计计划结构、审计前阶段、认证支持
security-control-testing.md	ISO 27002 控制措施的技术验证流程
cloud-security-audit.md	云服务提供商评估、配置安全、IAM 审查

---

审计绩效指标

KPI	目标	衡量方式
审计计划完成率	100%	已完成审计数与计划审计数之比
发现项关闭率	SLA 内 >90%	按时关闭数与总数之比
重大不符合项	认证时为 0	每个认证周期的数量
审计有效性	预防事件	已实施的安全改进

---

合规框架集成

框架	ISMS 审计相关性
GDPR	A.5.34 隐私、A.8.10 信息删除
HIPAA	访问控制、审计日志记录、加密
PCI DSS	网络安全、访问控制、监控
SOC 2	映射到 ISO 27002 的信任服务准则

---

故障排除

问题	可能原因	解决方案
审计计划未能在认证周期内覆盖全部 93 项附录 A 控制措施	未按 2022 年四主题结构盘点控制措施，或基于风险的排期存在缺口	使用 isms_audit_scheduler.py，并提供涵盖全部 93 项控制措施的完整控制措施 CSV；确保 3 年周期为关键控制措施安排季度审计，并每年覆盖所有其他控制措施
认证审计期间发现重大不符合项	控制措施存在系统性失效，或完全缺少必需的 ISMS 要素	立即开展根本原因分析；制定以 30 天为目标期限的纠正措施计划；使用新的证据重新测试控制措施；与认证机构安排验证审计
认证机构对审计员的独立性提出质疑	内部审计员被分配到其管理或操作的领域	制定明确的审计员独立性政策；绝不将审计员分配到其负责的领域；考虑为高风险控制领域聘请外部顾问；记录每次审计的独立性核验情况
技术控制措施（A.8）的证据收集不完整	未记录技术配置、未保留日志，或屏幕截图未标注时间戳	审计前准备针对具体控制措施的证据清单；要求系统管理员导出配置；确保日志保留期限覆盖审计期间；为所有证据材料标注时间戳
发现项关闭率低于 90% 的目标	未优先处理纠正措施、责任归属不明确，或跟进不足	为每项发现指定具体负责人和截止日期；实施自动化跟踪，在 SLA 期限达到 50% 和 75% 时升级处理；每月审查纠正措施
监督审计发现先前已通过的控制措施出现退化	初次认证后，因人员变动、系统更新或流程偏移导致控制措施退化	实施持续合规监控（而非仅进行年度检查）；为高风险领域安排每月控制措施抽查；在管理评审中纳入控制措施有效性
基于抽样的测试未发现系统性问题	样本量过小，或选择偏向已知良好的记录	根据总体规模和风险等级计算样本量（季度审查至少抽取 25 个样本）；采用随机抽样方法；增加曾出现发现项领域的样本量

---

成功标准

• 审计计划完成率达到 100%——在计划季度内执行所有预定审计，未经管理层批准，不得延期或取消
• 认证／监督审核中重大不符合项为零——在外部评估前，通过内部审计识别并纠正所有系统性控制失效
• 在 SLA 内的发现项关闭率超过 90%——重大不符合项在 30 天内关闭，轻微不符合项在 90 天内关闭，观察项在下一个审计周期前处理
• 在 3 年认证周期内审计全部 93 项附录 A 控制——其中关键控制（A.8.2、A.8.5、A.8.8、A.8.15）每季度审计，高风险控制每半年审计
• 审计证据均有具体引用记录——每项发现都包含控制引用、证据类型（询问／观察／检查／重新执行）、抽样详情和结论
• 已核实审计员胜任能力——所有指派的审计员均持有 ISO 27001 主任审核员认证或同等资质，并确认每项审计任务的独立性

---

范围与限制

范围内：

• 针对全部 93 项 ISO 27001:2022 附录 A 控制的基于风险的年度审计规划与排期
• 审计执行工作流，包括审计前准备、证据收集、控制测试和总结会议
• 发现项管理，包括严重性分类（重大不符合项、轻微不符合项、观察项）和纠正措施跟踪
• 为第一阶段（文档审查）和第二阶段（实施有效性）审核提供认证支持
• 监督审核准备和再认证规划
• 针对组织、人员、物理和技术控制主题的专项测试流程
• 审计绩效指标和 KPI 跟踪

范围外：

• 实际认证机构的选择、聘用或费用协商
• 技术渗透测试或漏洞扫描——技术检查请使用 infrastructure-compliance-auditor
• ISO 27001 ISMS 实施——实施指导请使用 information-security-manager-iso27001
• 超出 ISO 27001 交叉引用范围的 SOC 2 或其他框架专项审计执行
• 关于审计发现或监管报告义务的法律或合同建议

重要说明：

• ISO 27001:2013 认证已于 2025 年 10 月之后到期；所有审计现在都必须符合 2022 版，该版本包含 4 个主题下的 93 项控制
• 截至 2025 年，81% 的组织正在寻求 ISO 27001 认证（高于 2024 年的 67%），反映出市场对经认证安全计划的需求日益增长
• 最佳实践是将 ISMS 审计发现纳入持续改进，而不是将审计视为周期性的合规活动

---

集成点

技能	集成方式	使用时机
information-security-manager-iso27001	ISMS 实施提供审计所评估的控制和文档	审计发现要求改进控制或增强 ISMS 时
infrastructure-compliance-auditor	技术基础设施检查为附录 A 技术控制提供审计证据	审计需要提供 A.8 技术控制实施证据时
soc2-compliance-expert	SOC 2 审计证据和信任服务标准与 ISO 27001 控制存在重叠	组织同时维护 ISO 27001 和 SOC 2 合规计划时
capa-officer	需要正式纠正措施的审计发现会纳入 CAPA 流程	重大不符合项需要进行结构化根因分析和纠正措施时

---

工具参考

isms_audit_scheduler.py

根据控制风险评级生成基于风险的年度审计计划，并按季度安排审计。

标志	必填	说明
--year <year>	否	审计计划的目标年份（默认为当前年份）
--controls <file>	否	包含自定义控制风险评级的 CSV 文件（列：control_id、name、risk）；默认使用内置的 18 项关键控制风险评级
--quarters <list>	否	仅为指定季度生成计划（例如，--quarters Q1 Q2）
--format <fmt>	否	输出格式：json（默认）或 markdown
--output <file>	否	将审计计划导出到指定文件路径

按风险级别划分的审计频率：

• critical：每季度一次（每年 4 次）——例如，A.8.2 特权访问、A.8.5 身份验证、A.8.8 漏洞、A.8.15 日志记录
• high：每半年一次（每年 2 次）——例如，A.5.15 访问控制、A.5.24 事件管理、A.8.7 恶意软件防护
• medium：每年一次——例如，A.5.1 策略、A.6.3 安全意识培训、A.7.1 物理边界
• low：每年一次——例如，文档、资产清单

输出： 季度审计计划，包括控制项分配、审计员分配指南、基于风险的优先级安排和覆盖情况跟踪，确保在认证周期内为所有控制项安排审计。