第2頁共2頁信息安全內(nèi)部審核計劃表編號：ZHKJ-TSMS-4-12版本：A1.0審核目的通過信息安全管理體系審核，檢查各部門執(zhí)行體系文件情況，驗證適宜性、充分性、有效性。審核依據(jù)ISO/IEC27001:20XX標(biāo)準(zhǔn)、管理體系文件、適用性聲明、有關(guān)法律法規(guī)、合同。審核范圍與計算機信息系統(tǒng)集成相關(guān)的信息安全管理服務(wù)審核部門信息安全管理體系覆蓋的所有部門審核組序號姓名職責(zé)A組長B組員C組員審核時間20XX年11月10日審核日程安排審核組活動安排所涉及的體系要求被審核部門8首次會議各部門C組9:00-11:30管理職責(zé)：5.1/5.2/A.5.1/A.5.4/5.3/A.5.2/7.1/6.2/7.4/A.5.5/A.5.6管理評審：9.3/A.5.1/10.1/A.5.35管理層13:30-17:00體系建立：4.4/4.3/4.1/4.2/6.1.1/8.1/9.1/A.5.1/A.5.36/7.5/A.5.33/A.5.37/A.5.15/A.5.12/A.5.13/6.3風(fēng)險評估：8.2/6.1.2/6.1.3/8.3/A.5.9/5.23法律法規(guī)識別：A.5.31辦公區(qū)域的物理安全：A.7.1/A.7.2/A.7.3/A.7.4/A.7.5/A.7.6移動介質(zhì)管理：A.7.10PC機管理：A.5.17/A.8.18/A.8.19/A.8.19/A.5.32/A.7.7/A.8.7/A.8.13文檔管理：7.5.3/A.5.13/A.5.33信息安全事件管理：A.5.24/A.5.25/A.5.26/A.5.27/A.5.28/A.6.8業(yè)務(wù)連續(xù)性管理：A.5.29/A.5.30/A.8.14內(nèi)部審核：9.2/10.1/10.2/A.5.35管理運營部B組9:00-11:00人力資源管理：7.2/A.6.1/A.6.2/A.6.6/A.6.3/7.3/A.6.4/A.6.5/A.5.11/A.5.18/A.5.34/A.5.33人力資源部14:00-16:30企業(yè)特殊區(qū)域的物理安全（適用于財務(wù)室、保密室、檔案室等區(qū)域）:A.7.3/A.7.5密鑰（加密狗、U盾）的使用：A.8.24保險柜的使用：A.8.24/A.5.31供應(yīng)商管理：A5.19/A.5.20/A.5.21/A.5.22/A.5.23/A.8.30財務(wù)資產(chǎn)部/采購保障部A、B組9:00-17:00機房環(huán)境及設(shè)備的管理：A.7.2/A.7.3/A.7.5/A.7.11/A.7.12/A.7.13/A.7.14內(nèi)外網(wǎng)絡(luò)的管理：A.5.3/A.8.20/A.8.21/A.5.15/A.8.22/A.8.9/A.8.6/A.8.1/A.5.7/A.8.23/A.8.16用戶訪問權(quán)的管理：A.5.16/A.8.2/A.5.17/A.5.18應(yīng)用系統(tǒng)服務(wù)器的管理：A.8.3/A.6.7/A.8.5/A.5.17/A.8.18/A.8.19/A.5.32/A.8.7/A.8.13/A.8.12/A.7.7/A.8.15/A.8.17/A.8.10對使用中系統(tǒng)的管理：A.8.26/A.8.29/A.8.8/A.5.36/A.8.34/A.8.11應(yīng)用系統(tǒng)的開發(fā)、測試和變更：A.8.26/A.8.27/A.8.25/A.8.32/A.8.31/A.8.24/A.5.31/A.8.29/A.8.33/A.8.4/A.8.28IT設(shè)備管理：A.8.32/A.5.10/A.7.8/A.7.13/A.7.14/A.8.1/A.7.10/A.7.9服務(wù)項目涉及的信息安全：A.5.8/A.7.9/8.2/8.3/A.5.9/A.7.3/A.7.6/A.6.2/7.5.3/A.5.13/A.5.33信息傳輸要求:A.5.14/A.8.12智慧城市事業(yè)部/安全質(zhì)量部A、B、C17:00-17:30末次會議備注：1、在內(nèi)審實施中各部門要配合內(nèi)審人員進行內(nèi)審工作;在內(nèi)審實施中要避免言語沖突的發(fā)生;內(nèi)審員對審核結(jié)果要及時記錄(無論是否符合),并要被審核部門代表簽字確認。編制：審核：批準(zhǔn)：日期：ISMS內(nèi)審檢查表審核條款各部門審核情況一覽審核詳情備注編號ISO27001章節(jié)審核指南管理層管理運營部智慧城市事業(yè)部財務(wù)資產(chǎn)部人力資源部采購保障部安全質(zhì)量部4組織的背景4組織的背景符合4.1了解組織現(xiàn)狀及背景1、體系文件中對公司的概況是否有介紹。

2、有沒有明確的體系范圍和邊界？

3、手冊中對客戶的要求是否有識別？

4、完整的體系文件？YESNANANANANANA符合4.2理解相關(guān)方的需求和期望YESNANANANANANA符合4.3確定信息安全管理體系的范圍YESNANANANANANA符合4.4ISMSYESNANANANANANA符合5領(lǐng)導(dǎo)力5.1領(lǐng)導(dǎo)力和承諾1、管理者對ISMS做出哪些承諾？

2、管理者為ISMS提供哪些資源？

3、管理者對ISMS的重要性是否給予傳達。

4、頒布令和授權(quán)令YESNANANANANANA符合5.2方針YESNANANANANANA符合5.3組織角色、職責(zé)和承諾YESNANANANANANA符合6規(guī)劃6.1應(yīng)對風(fēng)險和機會的措施6.1.1總則1、ISMS建立時間？

2、方針目標(biāo)？

3、風(fēng)險評估？

4、適用性條款？

5、風(fēng)險處置計劃？YESNANANANANANA符合6.1.2信息安全風(fēng)險評估YESNANANANANANA符合6.1.3信息安全風(fēng)險處置YESNANANANANANA符合6.2信息安全目標(biāo)和規(guī)劃實現(xiàn)1、信息安全方針包含信息安全目標(biāo)或設(shè)置信息安全目標(biāo)提供框架？YESNANANANANANA符合6.3變更的策劃YESNANANANANANA符合7支持7.1資源提供了體系建立需要的資源YESNANANANANANA符合7.2能力對體系內(nèi)的工作者有能力的評價NANANANAYESNANA符合7.3意識對體系內(nèi)的工作者有安全意識的培訓(xùn)NANANANAYESNANA符合7.4溝通是否有相應(yīng)的溝通管理程序NANANANAYESNANA符合7.5文件記錄信息7.5.1總則體系所需要的文件和記錄完整NAYESNANANANANA符合7.5.2創(chuàng)建和更新1、組織是否編制了文件控制規(guī)程？

2、組織是否遵循文件控制規(guī)程？NAYESNANANANANA符合7.5.3文件記錄信息的控制NAYESNANANANANA符合8運行8.1運行的規(guī)劃和控制管理者是否確保在其職責(zé)范圍內(nèi)的所有安全程序都能得到正確執(zhí)行？NAYESYESYESYESYESNA符合8.2信息安全風(fēng)險評估1、體系文件有運行中風(fēng)險評估的觸發(fā)條件及固定周期

2、實施風(fēng)險處置計劃？NAYESYESYESYESYESNA符合8.3信息安全風(fēng)險處置NAYESYESYESYESYESNA符合9績效評價9.1監(jiān)視、測量、分析和評價1、通過哪些方式監(jiān)控體系運行，持續(xù)改進ISMS有效性？NAYESNANANANANA符合9.2內(nèi)部審核1、體系中對內(nèi)審有明確要求NAYESNANANANANA符合9.3管理評審1、體系中對管理評審有明確要求YESNANANANANANA符合10改進10.1不符合和糾正措施1、是否有糾正措施控制程序？NAYESNANANANANA符合10.2持續(xù)改進1、是否有對持續(xù)改進的時間及跟蹤要求？NAYESYESYESYESYESYES符合A.5組織控制A.5.1信息安全的策略集信息安全方針文件是否由管理者批準(zhǔn)、發(fā)布？YESNANANANANANA符合A.5.2信息安全角色和職責(zé)信息安全活動是否由不同部門并具備相關(guān)角色和工作職責(zé)的代表進行協(xié)調(diào)？YESNANANANANANA符合A.5.3職責(zé)分離所有信息安全職責(zé)是否有清晰的定義YESNANANANANANA符合A.5.4管理者職責(zé)管理者是否要求雇員、承包方人員和第三方人員，按照該組織已建立的方針和程序負起安全責(zé)任？YESNANANANANANA符合A.5.5與職能機構(gòu)的聯(lián)系組織是否保持與政府相關(guān)部門的適當(dāng)?shù)穆?lián)系？NAYESNANANANANA符合A.5.6與特定相關(guān)方的聯(lián)系組織是否與特殊利益團體、安全專家組和專業(yè)協(xié)會保持適當(dāng)?shù)穆?lián)系？NAYESNANANANANA符合A.5.7威脅情報NANAYESNANANANA符合A.5.8項目管理中的信息安全組織是否對其管理信息安全的方法與實踐（及信息安全控制目標(biāo)與控制措施、方針、過程和程序），按既定的時間間隔（或當(dāng)安全實施發(fā)生重大變化時）進行獨立評審？NANAYESNANANANA符合A.5.9信息和其它相關(guān)資產(chǎn)清單是否所有重要資產(chǎn)都進行了登記，建立了清單文件并加以維護？

與信息處理設(shè)施有關(guān)的所有信息和資產(chǎn)，是否由指定的部門或者人員承擔(dān)責(zé)任？NAYESNANANANANA符合A.5.10信息和其他相關(guān)資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)的可接受使用規(guī)則，是否確定形成了文件并加以實施？NAYESNANANANANA符合A.5.11資產(chǎn)歸還所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時，是否歸還他們使用的所有組織資產(chǎn)？NAYESNANANANANA符合A.5.12信息的分級信息是否按照其對組織的價值、法律要求、敏感性和關(guān)鍵性進行分類？NAYESNANANANANA符合A.5.13信息的標(biāo)記是否按照所采納的分類機制建立和實施一組合適的信息標(biāo)記規(guī)程？NAYESNANANANANA符合A.5.14信息傳輸為了保護通過使用各種類型的通信設(shè)施的信息交換，是否有正式的交換策略、規(guī)程和控制措施？NANAYESNANANANA符合在組織和外部之間進行信息/軟件交換時，是否有交換協(xié)議？NANAYESNANANANA符合包含在電子消息發(fā)送中的信息是否給予適當(dāng)?shù)谋Ｗo？NANAYESNANANANA符合A.5.15訪問控制訪問控制策略是否建立并形成文件？

是否基于業(yè)務(wù)和訪問的安全要求進行評審？NANAYESNANANANA符合是否對網(wǎng)絡(luò)進行分區(qū)域管理？或用戶是否僅能訪問已獲專門授權(quán)使用的服務(wù)？NANAYESNANANANA符合A.5.16身份管理是否有正式的用戶注冊與注銷程序，授權(quán)和撤銷對所有信息系統(tǒng)和服務(wù)的訪問？（對系統(tǒng)有訪問權(quán)限的員工或簽約員工進行抽樣檢查）NANAYESNANANANA符合A.5.17身份驗證信息安全鑒別信息，如口令的分配是否有一個正式的管理過程進行控制？NANAYESNANANANA符合是否要求用戶在選擇和使用安全鑒別信息時，如口令，遵循良好的安全習(xí)慣？NANAYESNANANANA符合口令管理系統(tǒng)是否交互式的并能夠確保優(yōu)質(zhì)的口令？（推薦系統(tǒng)測試用戶的口令管理）NANAYESNANANANA符合A.5.18訪問權(quán)限無論什么類型的用戶，在對其分配或撤銷所有系統(tǒng)和服務(wù)的權(quán)限時，是否有一個正式的用戶訪問開通流程？NANAYESNANANANA符合資產(chǎn)所有者應(yīng)定期對用戶的訪問權(quán)進行復(fù)查？NANAYESNANANANA符合所有雇員、承包方人員和第三方人員對信息和信息處理設(shè)施的訪問權(quán)，是否在任用、合同或協(xié)議終止時，刪除，或在變化時調(diào)整？NANAYESNANANANA符合A.5.19供應(yīng)商關(guān)系中的信息安全是否與供應(yīng)商協(xié)商并記錄信息安全的要求，以減少供應(yīng)商訪問信息資產(chǎn)帶來的風(fēng)險？NANANAYESNANANA符合A.5.20在供應(yīng)商協(xié)議中的強調(diào)信息安全是否與供應(yīng)商建立并協(xié)商所有信息安全相關(guān)要求，并實施？NANANAYESNANANA符合A.5.21ICT供應(yīng)鏈的信息安全管理供應(yīng)商協(xié)議是否包括信息、通信技術(shù)服務(wù)和產(chǎn)品供應(yīng)鏈的相關(guān)信息安全風(fēng)險？NANANAYESNANANA符合A.5.22供應(yīng)商服務(wù)的監(jiān)控、審查和變更管理對供應(yīng)商提供的服務(wù)、報告和記錄，是否定期的進行監(jiān)視、評審和審核？NANANAYESNANANA符合是否管理服務(wù)提供的變更（包括保持和改進現(xiàn)有的信息安全策略、規(guī)程和控制措施，并考慮到業(yè)務(wù)系統(tǒng)和涉及過程的關(guān)鍵程度及風(fēng)險的再評估）？NANANAYESNANANA符合A.5.23使用云服務(wù)的信息安全公司是否使用云服務(wù)？是否與服務(wù)商簽訂有服務(wù)協(xié)議NAYESNANANANANA符合A.5.24信息安全事件管理策劃和準(zhǔn)備是否建立了對安全事件做出快速、有效和有序反應(yīng)的職責(zé)和程序？NAYESNANANANANA符合A.5.25信息安全事態(tài)的評估與決策是否對信息安全事態(tài)進行評估，以決定他們是否被歸類為信息安全事件？NAYESNANANANANA符合A.5.26信息安全事件響應(yīng)對于信息安全事件是否按照已建立的職責(zé)和規(guī)程，快速、有效、有序的響應(yīng)？NAYESNANANANANA符合A.5.27從信息安全事件中學(xué)習(xí)是否有一套能夠量化和監(jiān)視信息安全事件的類型、數(shù)量和代價的機制？NAYESNANANANANA符合A.5.28證據(jù)收集當(dāng)信息安全事件涉及到訴訟（民事的或刑事的），需要進一步對個人或者組織進行起訴時，是否收集、保留和呈遞證據(jù)，這些證據(jù)要符合相關(guān)管轄區(qū)域?qū)ψC據(jù)的要求？NAYESNANANANANA符合A.5.29中斷期間的信息安全為了解決組織的業(yè)務(wù)持續(xù)性所需的信息安全要求，組織是否開發(fā)和維持一個用于整個組織的業(yè)務(wù)持續(xù)性管理過程？和計劃？NANAYESNANANANA符合A.5.30ICT為業(yè)務(wù)連續(xù)性做好準(zhǔn)備是否按照程序和控制的要求，實施了信息安全連續(xù)性管理過程和計劃？NANAYESNANANANA符合連續(xù)性計劃是否進行定期驗證、評審和更新，以確保其有效性？（可查看是否有演練和測試）NANAYESNANANANA符合A.5.31法律、法規(guī)、監(jiān)管和合同要求對每一個信息系統(tǒng)和組織，適用的所有相關(guān)法律法規(guī)和合同要求，以及為滿足這些要求組織所采用的方法，都明確地進行了定義，形成了文件并保持更新？NAYESNANANANANA符合使用密碼控制措施時，是否遵從相關(guān)的協(xié)議和法律法規(guī)？NAYESNANANANANA符合A.5.32知識產(chǎn)權(quán)在使用具有知識產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時，為了符合法律、法規(guī)和合同要求，組織是否實施了適當(dāng)?shù)囊?guī)程？NAYESNANANANANA符合A.5.33記錄的保護為了滿足法律、法規(guī)、合同和業(yè)務(wù)要求，是否防止重要的記錄遺失、毀壞和偽造？NAYESNANANANANA符合A.5.34隱私和個人可識別信息保護是否有依照相關(guān)的法律法規(guī)要求和合同要求，確保數(shù)據(jù)保護和隱私？NAYESNANANANANA符合A.5.35信息安全獨立審核是否有獨立評審的規(guī)程并實施？NAYESNANANANANA符合A.5.36信息安全策略、規(guī)程和標(biāo)準(zhǔn)合規(guī)管理者是否確保在其職責(zé)范圍內(nèi)的所有安全程序都能得到正確執(zhí)行？YESNANANANANANA符合A.5.37文件化的操作規(guī)程操作程序是否形成了文件、加以保持并可為所有需要的用戶使用？NAYESNANANANANA符合A.6人員控制A.6.1審查對所有任用的候選者、承包方人員和第三方人員，是否按照相關(guān)法律法規(guī)、道德規(guī)范、業(yè)務(wù)要求、被訪問的信息類別和已察覺的風(fēng)險，進行背景調(diào)查和驗證？NANANANAYESNANA符合A.6.2任用條款及條件雇員、承包方人員和第三方人員是否簽署了任用合同的條款和條件（這些條款和條件應(yīng)聲明他們和組織的信息安全職責(zé)）NANANANAYESNANA符合A.6.3信息安全意識、教育和培訓(xùn)組織的所有雇員，（適當(dāng)時，也要包括承包方人員和第三方人員），是否受到與其工作職能相關(guān)的適當(dāng)?shù)囊庾R培訓(xùn)和方針策略以及規(guī)程的定期更新培訓(xùn)NANANANAYESNANA符合A.6.4違規(guī)處理過程對于安全違規(guī)的雇員，是否有一個正式的紀律處理過程？NANANANAYESNANA符合A.6.5任用終止或變更的責(zé)任任用終止或任用變更的職責(zé)是否清晰地做出了定義和分配？NANANANAYESNANA符合A.6.6保密或不泄露協(xié)議保密協(xié)議是否得到識別和定期評審？（查看保密協(xié)議）NANANANAYESNANA符合A.6.7遠程工作組織是否開發(fā)和實施有關(guān)控制遠程工作活動的策略、操作計劃和規(guī)程？NANAYESNANANANA符合A.6.8報告信息安全事態(tài)是否有適當(dāng)?shù)耐緩綀蟾嫘畔踩聭B(tài)？NAYESNANANANANA符合是否要求信息系統(tǒng)和服務(wù)的所有員工、合同方和第三方用戶都需要報告他們觀察到的或懷疑的系統(tǒng)或服務(wù)中的任何安全弱點？NAYESNANANANANA符合A.7物理控制A.7.1物理安全邊界是否有用于保護包含信息和信息處理設(shè)施的區(qū)域的安全周邊（如墻、門禁卡或受管理的接待臺等屏障）？NAYESNANANANANA符合A.7.2物理入口為了確保只有已被授權(quán)人員才允許訪問，安全區(qū)域是否通過合適的入口控制措施加以保護？（現(xiàn)場檢查訪問記錄，并可能測試用戶進入安全區(qū)域的符合性。）NAYESNANANANANA符合A.7.3辦公室、房間和設(shè)施的安全是否為辦公室、房間和設(shè)施設(shè)計并采取物理安全措施？（現(xiàn)場檢查辦公室、房間和設(shè)施的保護情況）NAYESNANANANANA符合A.7.4物理安全監(jiān)控公司入口和重要區(qū)域是否安裝有監(jiān)控系統(tǒng)？監(jiān)控信息的獲取是否設(shè)置管理權(quán)限NAYESNANANANANA符合A.7.5外部和環(huán)境威脅的安全防護對由火災(zāi)、洪水、地震、爆炸、社會動蕩和其他形式的自然災(zāi)難或人為災(zāi)難引起的損害，是否設(shè)計與采取了物理保護措施？（現(xiàn)場檢查針對外部威脅和環(huán)境威脅的安全防護情況）NAYESNANANANANA符合A.7.6在安全區(qū)域工作是否設(shè)計和應(yīng)用了用于安全區(qū)域工作的物理保護和指南？（現(xiàn)場檢查安全區(qū)域的保護狀況）NAYESNANANANANA符合A.7.7清理桌面和屏幕是否采取清空桌面文件，可移動存儲介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略？（現(xiàn)場檢查用戶的清空桌面和屏幕設(shè)置）NAYESNANANANANA符合A.7.8設(shè)備選址和保護設(shè)備的安置或保護，是否在可減少由環(huán)境威脅和危險所造成的各種風(fēng)險以及未授權(quán)訪問的機會？（現(xiàn)場檢查設(shè)備的安置和保護情況，并可能需要系統(tǒng)測試保護措施是否適當(dāng)）NANAYESNANANANA符合A.7.9組織場所外的資產(chǎn)安全對于組織場所的設(shè)備，是否考慮了工作在組織場所以外的不同風(fēng)險，而采取安全措施？（可能測試組織場所外的設(shè)備安全狀況，如移動設(shè)備的加密）NANAYESNANANANA符合A.7.10存儲介質(zhì)是否有適當(dāng)?shù)目梢苿咏橘|(zhì)的管理程序？NAYESNANANANANA符合對于不再需要的介質(zhì)，是否使用正式的程序可靠并安全地處置？NAYESNANANANANA符合當(dāng)包含信息的介質(zhì)在組織的物理邊界以外運送時，是否有防范未授權(quán)的訪問、不當(dāng)使用或毀壞的措施？NAYESNANANANANA符合A.7.11支持性設(shè)施對于支持性設(shè)施的失效而引起的電源故障和其它中斷，設(shè)備是否能夠免于受到影響？（現(xiàn)場檢查并可能需要測試支持性設(shè)施的保護措施）NANAYESNANANANA符合A.7.12布纜安全是否可以保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或者損壞？（現(xiàn)場檢查供電和通信電纜的布線狀況）NANAYESNANANANA符合A.7.13設(shè)備維護為了確保設(shè)備持續(xù)的可用性和完整性，對設(shè)備是否予以正確的維護？NANAYESNANANANA符合A.7.14設(shè)備的安全處置或再利用為了確保在處置之前，任何敏感信息和注冊軟件已經(jīng)被刪除或安全地寫覆蓋，是否對包含儲存介質(zhì)的設(shè)備的所有項目進行核查？（現(xiàn)場檢查并可能測試設(shè)備處置或重用情況）NANAYESNANANANA符合A.8技術(shù)控制A.8.1用戶終端設(shè)備是否有正式的策略并且采用適當(dāng)?shù)陌踩胧?，以防止使用移動計算和通信設(shè)施時所造成的風(fēng)險？NANAYESNANANANA符合用戶是否確保無人值守的用戶設(shè)備由適當(dāng)?shù)谋Ｗo？NANAYESNANANANA符合A.8.2特許訪問權(quán)是否限制和控制特殊權(quán)限的分配及使用？NANAYESNANANANA符合A.8.3信息訪問限制用戶對信息和應(yīng)用系統(tǒng)功能的訪問，是否依照已確定的訪問控制策略進行限制？NANAYESNANANANA符合A.8.4源代碼的訪問是否限制訪問程序源代碼？NANAYESNANANANA符合A.8.5安全的身份驗證訪問操作系統(tǒng)是否通過安全登錄規(guī)程加以控制？NANAYESNANANANA符合A.8.6容量管理為了確保所需要的系統(tǒng)性能，是否對資源的使用進行監(jiān)視和調(diào)整，并對未來的容量需求做出規(guī)劃？（可能需要測試系統(tǒng)性能和資源容量）NANAYESNANANANA符合A.8.7惡意軟件防范是否有對惡意代碼的控制措施（包括惡意代碼的監(jiān)測、預(yù)防和恢復(fù)）？是否有適當(dāng)?shù)奶岣哂脩舭踩庾R的規(guī)程？NANAYESNANANANA符合A.8.8技術(shù)脆弱性管理是否及時了解和獲得有關(guān)現(xiàn)有信息系統(tǒng)的技術(shù)脆弱性信息？對信息系統(tǒng)的技術(shù)脆弱性是否進行評價，并采取處理相關(guān)的風(fēng)險的適當(dāng)措施？NANAYESNANANANA符合是否進行技術(shù)符合性評審，以確保信息系統(tǒng)是符合信息安全政策和標(biāo)準(zhǔn)的？（可檢查是否有滲透測試、脆弱性評估）NANAYESNANANANA符合A.8.9配置管理公司是否建立配置數(shù)據(jù)庫？是否定期對配置項進行檢查？NANAYESNANANANA符合A.8.10信息刪除公司是否制定有數(shù)據(jù)刪除手段？對不需要的敏感數(shù)據(jù)刪除時是否有刪除記錄？NANAYESNANANANA符合A.8.11數(shù)據(jù)屏蔽公司使用那些數(shù)據(jù)屏蔽的技術(shù)？NANAYESNANANANA符合A.8.12數(shù)據(jù)泄露防護公司制定有什么策略防止數(shù)據(jù)處理、存儲或傳輸敏感信息？公司的防泄漏工具有哪些？NANAYESNANANANA符合A.8.13信息備份是否按照已設(shè)的備份策略，定期備份和測試信息和軟件？（推薦測試信息備份和恢復(fù)過程，如嘗試一次恢復(fù)操作）NANAYESNANANANA符合A.8.14信息處理設(shè)施的冗余信息處理設(shè)施是否有足夠的冗余，以確?？捎眯缘囊?？NANAYESNANANANA符合A.8.15記錄日志是否對用戶活動、異常情況、故障和信息安全事態(tài)的審計日志進行記錄？并定期對事件日志進行評審？NANAYESNANANANA符合為了防止篡改和未授權(quán)的訪問，記錄日志的設(shè)施和日志信息是否加以保護？NANAYESNANANANA符合系統(tǒng)管理員和系統(tǒng)操作員的活動是否寫入日志中？NANAYESNANANANA符合A.8.16監(jiān)控活動公司是否對網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用程序等異常行為進行監(jiān)控？是否定期監(jiān)控記錄進行評審？監(jiān)控工具清單？資源的使用情況？是否建立了系統(tǒng)正常行為的基線？NANAYESNANANANA符合A.8.17時鐘同步公司或安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時鐘，是否使用已設(shè)的精確時間源進行同步？NANAYESNANANANA符合A.8.18特權(quán)實用程序的使用對于可能超越系統(tǒng)和應(yīng)用程序控制措施的實用工具的使用，是否加以限制并嚴格控制？NANAYESNANANANA符合A.8.19在操作系統(tǒng)上安裝軟件在運行系統(tǒng)上安裝軟件方面，是否有程序或控制措施？NANAYESNANANANA符合用戶安裝軟件是否有規(guī)程進行控制？NANAYESNANANANA符合A.8.20網(wǎng)絡(luò)安全為了防止威脅的發(fā)生，維護使用網(wǎng)絡(luò)的系統(tǒng)和應(yīng)用程序的安全?NANAYESNANANANA符合A.8.21網(wǎng)絡(luò)服務(wù)的安全是否有網(wǎng)絡(luò)服務(wù)協(xié)議，網(wǎng)絡(luò)服務(wù)協(xié)議是否包括安全特性、服務(wù)級別以及所有網(wǎng)絡(luò)服務(wù)的管理要求？NANAYESNANANANA符合A.8.22網(wǎng)絡(luò)隔離是否在網(wǎng)絡(luò)上對信息服務(wù)、用戶和信息系統(tǒng)進行隔離控制？NANAYESNANANANA符合A.8.23網(wǎng)頁過濾是否設(shè)置有網(wǎng)頁過濾策略？是否進行了黑白名單設(shè)置？NANAYESNANANANA符合A.8.24加密技術(shù)的使用是否開發(fā)和實施使用密碼控制措施來保護信息的策略？NANAYESNANANANA符合是否有密鑰管理以支持組織使用密碼技術(shù)？NANAYESNANANANA符合A.8.25安全開發(fā)生命周期是否有建立軟件或系統(tǒng)的開發(fā)規(guī)則？NANAYESNANANANA符合A.8.26應(yīng)用程序安全要求為了防止欺詐活動、合同爭議以及未授權(quán)的泄漏和修改，包含在公共網(wǎng)絡(luò)的應(yīng)用服務(wù)信息，是否受到保護？NANAYESNANANANA符合在應(yīng)用服務(wù)上交易的信息是否受保護，以防止不完全傳輸、錯誤路由、未授權(quán)的消息篡改、未授權(quán)的泄露、未授權(quán)的消息復(fù)制或重放？NANAYESNANANANA符合A.8.27安全系統(tǒng)架構(gòu)和工程原則工程安全系統(tǒng)原則是否被建立？并應(yīng)用到任何信息系統(tǒng)開發(fā)工作中？NANAYESNANANANA符合A.8.28安全編碼是否制定有安全編碼規(guī)則？是否對代碼進行安全檢查？NANAYESNANANANA符合A.8.29開發(fā)和驗收中的安全測試是否進行安全功能測試？NANAYESNANANANA符合是否建立了新建信息系統(tǒng)、系統(tǒng)更新、版本升級驗收測試規(guī)程和標(biāo)準(zhǔn)？NANAYESNANANANA符合A.8.30外包開發(fā)是否管理和監(jiān)視外包軟件的開發(fā)？NANAYESNANANANA符合A.8.31開發(fā)、測試和生產(chǎn)環(huán)境的分離為了減少未授權(quán)訪問（或更改）運行系統(tǒng)的風(fēng)險，開發(fā)設(shè)施、測試設(shè)施和運行測試是否彼此分離開？（可能需要測試開發(fā)、測試和運行設(shè)施是否分離）NANAYESNANANANA符合在整個系統(tǒng)開發(fā)生命周期的系統(tǒng)開發(fā)和集成工作中，是否建立了適當(dāng)?shù)陌踩_發(fā)環(huán)境？NANAYESNANANANA符合A.8.32變更管理對信息處理設(shè)施和系統(tǒng)的變更是否加以控制？（推薦測試信息處理設(shè)施或系統(tǒng)的變更過程）NANAYESNANANANA符合在對信息系統(tǒng)的變更控制方面，是否有正式的變更控制規(guī)程？NANAYESNANANANA符合在操作系統(tǒng)變更后，為了確保對組織的運行和安全沒有負面影響，是否對關(guān)鍵的業(yè)務(wù)應(yīng)用系統(tǒng)進行評審和測試？NANAYESNANANANA符合對軟件包的修改，是否只限于必要的變更？對所有的變更是否加以嚴格控制？NANAYESNANANANA符合A.8.33測試信息測試數(shù)據(jù)是否進行過選擇并保護和控制？NANAYESNANANANA符合A.8.34審計測試期間信息系統(tǒng)的保護為了最小化造成業(yè)務(wù)過程中斷的風(fēng)險，對涉及運行系統(tǒng)核查的審計要求和活動，是否進行了謹慎地規(guī)劃并獲得批準(zhǔn)？NANAYESNANANANA符合ISMS內(nèi)審組任命書為了使公司信息安全管理體系內(nèi)審工作的順利進行，選派合格的內(nèi)審員，特委任以下人員分別擔(dān)任內(nèi)審組長及內(nèi)審員,負責(zé)履行有關(guān)內(nèi)審活動中的各項工作。具體人員安排如下:

內(nèi)審組長：

內(nèi)審員：

特此任命！

總經(jīng)理：

日期：20XX.11.1信息安全內(nèi)部會議記錄會議議題內(nèi)部審核首次會議會議時間20XX.11.10主持人記錄人參加人員：各部門負責(zé)人或代表。主要內(nèi)容：1、介紹審核目的、依據(jù)和范圍2、簡單介紹審核的程序和方法3、確認審核所需的資源4、介紹有關(guān)審核活動的相關(guān)規(guī)定(如不符合項分類、跟蹤方式、審核結(jié)果等)會議簽到

信息安全內(nèi)部會議記錄會議議題內(nèi)部審核末次會議會議時間20XX.11.10主持人記錄人參加人員：各部門負責(zé)人或代表。溝通內(nèi)容：重申審核目的、依據(jù)和范圍、重申審核是抽樣調(diào)查活動。簡述審核過程，對內(nèi)審的結(jié)果進行分析，總結(jié)內(nèi)審中的優(yōu)缺點。落實糾正措施的實施。總結(jié)內(nèi)審的意義和經(jīng)驗為以后的不斷改進打好基礎(chǔ)。會議簽到內(nèi)審不符合項報告及糾正報告被審核部門第組共1頁第1頁審核員審核陪同不符合項說明：不符合項性質(zhì)：￡一般￡嚴重被審核部門：審核員：日期：年月日原因分析：不符合處置方案：負責(zé)人：完成日期：年月日防止再發(fā)生的糾正措施實施：負責(zé)人：年月日糾正措施跟蹤情況：繼續(xù)跟蹤審核員：日期：年月日備注：內(nèi)部審核報告編號：ZHKJ-TSMS-4-16審核目的驗證公司的信息安全管理活動是否符合ISO/IEC27001:20XX標(biāo)準(zhǔn)要求；驗證公司的信息安全管理活動是否符合相關(guān)法律法規(guī)的要求；驗證公司的信息安全管理活動是否符合信息安全管理體系文件要求；驗證公司信息安全管理體系的有效性。審核范圍審核依據(jù)ISO/IEC27001:20XX標(biāo)準(zhǔn)；適用的信息安全法律法規(guī)；公司的信息安全管理體系文件。審核日期20XX年11月10日審核組成員審核情況：本次審核按信息安全及信息技術(shù)服務(wù)管理手冊及《內(nèi)部審核管理程序》要求，編制了內(nèi)審計劃及實施計劃并按計劃進行了實施。審核小組3人分別按要求編制了《內(nèi)部審核檢查表》；內(nèi)審計劃事先也送達受審核部門。審核組在各部門配合下，按審核計劃進行審核，分別到部門、現(xiàn)場，采用面談、現(xiàn)場觀察、抽查信息安全體系文件及信息安全體系運行產(chǎn)生的記錄等方法，進行了抽樣調(diào)查和認真細致的檢查。審核組審核了包括總經(jīng)理、管代、各有關(guān)職能部門。審核發(fā)現(xiàn)：信息安全管理體系文件的建立和實施經(jīng)現(xiàn)場審核時，其適宜性、充分性和有效性基本滿足要求；各部門信息安全體系文件基本能適應(yīng)各自業(yè)務(wù)的需求。本次內(nèi)審中未發(fā)現(xiàn)不符合項。公司通過對信息資產(chǎn)、過程的監(jiān)視和測量，內(nèi)審、管理評審，糾正、預(yù)防措施，數(shù)據(jù)分析等有系統(tǒng)的獲得與信息安全有直接關(guān)系的信息，進行分析并用于持續(xù)改進信息安全管理體系的有效性。對信息安全管理體系運行的總結(jié)：公司的信息安全管理手冊基本滿足ISO/IEC27001:20XX標(biāo)準(zhǔn)的要求，有能力證明自身的ISMS管理，能向顧客證明管理是有效的。公司文件化信息安全管理手冊基本得到實施，發(fā)展趨勢總的來說是好的，但發(fā)展仍不平衡，特別是在相關(guān)流程文件還存在某些描述與實際運行不符的情況。公司信息安全服務(wù)方針和信息安全服務(wù)目標(biāo)基本得到實現(xiàn)，現(xiàn)有信息安全服務(wù)管理體系是有效的。具備自我發(fā)現(xiàn)自我改進的能力，持續(xù)改進。通過本次內(nèi)審，審核組認為公司的信息安全服務(wù)管理體系基本符合ISO/IEC27001:20XX標(biāo)準(zhǔn)要求，信息安全管理手冊、程序文件，能夠得以有效的實施，可以看出，體系的運行是基本符合的、有效的，能滿足信息技術(shù)服務(wù)策劃的要求。內(nèi)審的策劃、間隔和實施范圍、深度及驗證是適宜的；糾正、預(yù)防措施對防止不合格再發(fā)生基本滿足要求。其他事項：以體系文件為依據(jù)，建議各部門對本部門員工要經(jīng)常宣講體系文件，使各項信息安全服務(wù)活動都能按體系文件的要求執(zhí)行，納入標(biāo)準(zhǔn)的軌道，保證體系運行的持續(xù)有效。信息安全服務(wù)文件和記錄是體系運行的重要依據(jù)，各部門都要重視。建議各部門把程序文件所列的信息安全服務(wù)記錄的表式逐一整理，在實際運行中逐項落實，糾正原來不符合要求的表式，對所發(fā)的文件和所收到的文件按程序規(guī)定，進行簽發(fā)、收錄登記，使文件和記錄盡快趨于完善。對控制目標(biāo)的測量雖有良好的評價結(jié)果，但測量深度有待進一步加強，各分管職能人員要經(jīng)常深入檢查控制措施的落實情況，以形成良好的習(xí)慣，促使管理工作上臺階。進一步建立和健全自我教育、自我評審、自我改進、自我完善的機制，經(jīng)常對照體系文件與已有關(guān)的條款，查錯堵漏。在貫徹落實標(biāo)準(zhǔn)方面，各部門還有待進一步加強培訓(xùn)力度。各部門與信息安全管理體系有關(guān)的各個環(huán)節(jié)的管理人員和操作人員，都要針對性地學(xué)習(xí)與已有有關(guān)的文件內(nèi)容，找出目前工作與信息安全管理體系文件要求的差距，進行整改。審核組長：20XX年11月11日管理層意見：同意簽署：20XX年11月11日ISO27001：2022最新版管理評審全套資料目錄管理評審計劃管理評審會議記錄管理評審報告管理評審糾正預(yù)防措施計劃表管理評審?fù)ㄖ獑卧u審會議時間：20XX年6月22日評審會議地點：公司會議室參加人員：總經(jīng)理、管理者代表、各部門負責(zé)人及相關(guān)人員評審內(nèi)容要點：1.本公司的組織結(jié)構(gòu)2.本公司的安全方針和目標(biāo)3.IT服務(wù)管理體系運行情況（由管理者代表準(zhǔn)備報告在管理評審會議上匯報）。4.內(nèi)審結(jié)果（由管理者代表在管理評審會議上匯報）。5.顧客反饋信息、顧客投訴及抱怨（由業(yè)務(wù)管理部在管理評審會議上進行具體匯報）。6.資源是否充分。7.糾正/預(yù)防措施的實施有效性。8.改進的建議（由參加管理評審會議的人員在評審會上提出）。編制：XXX批準(zhǔn)：XX日期：20XX.6.21管理評審計劃評審目的：對本公司建立的信息安全管理體系和IT服務(wù)管理體系進行評審，以確保其持續(xù)的適宜性、充分性和有效性。評審參加部門和人員：總經(jīng)理、管理者代表、各部門負責(zé)人評審內(nèi)容：（1）內(nèi)部審核的結(jié)果；（2）各類安全控制措施的制定、執(zhí)行情況；（3）服務(wù)過程的實施情況；（4）實施預(yù)防和糾正措施的狀況；（5）相關(guān)方的反饋；（6）管理體系改進情況；（7）有效性測量的結(jié)果；（8）可能影響管理體系的變更；（9）改進的建議。評審準(zhǔn)備工作要求：（1）管理者代表匯報現(xiàn)階段ISMS和IT服務(wù)管理體系運行情況，包括內(nèi)審的情況。由管理者代表審核，報總經(jīng)理。（2）綜合部負責(zé)根據(jù)評審內(nèi)容要求，組織評審資料的收集。要求各部門準(zhǔn)備參加評審會議的討論提綱等必要的文件，評審資料由管理者代表確認。（3）各部門著重準(zhǔn)備下述內(nèi)容的匯報提綱：——本部門IT服務(wù)和信息安全措施執(zhí)行的情況；——ISMS和IT服務(wù)管理體系過程的情況匯報；—