如何执行内部isms审核 (1).docVIP

PAGE / NUMPAGES 如何执行内部ISMS审核 信息安全的确保，已经被公认为一个重要的业务过程。一个组织如果不能正确地和有效地管理信息安全，那么其为顾客提供产品和服务的业务过程和能力就会受到质疑。信息安全的成功解决方法，是正确地建立、实施和维护一个如ISO/IEC 27001:2005标准所描述的信息安全管理体系(Information Security Management System,简称ISMS)。 内部ISMS审核，有时也称第一方ISMS审核，或ISMS内审，是组织自我评估和检查其自己的ISMS的符合性。ISMS内审，在信息安全的维护和改进方面，起着核心的作用。 然而，ISMS审核是一个新项目，对审核人员来说，是一种新的挑战。为了完成这个项目，审核人员不仅需要正确地与透彻地理解相关标准(包括ISO/IEC 27001:2005和ISO/IEC 17799:2005 等)，而且也需要有丰富的综合知识、审核技能、沟通能力和组织能力，更需要有一丝不苟的认真负责的精神。 本文结合ISO/IEC 27001:2005标准的要求和笔者的实际工作经验，论述执行ISMS内审的步骤、活动和必须引起注意的关键点等。 1.建立内部ISMS审核程序文件 (1)执行标准对文件的规定 ??? ISO/IEC 27001：2005标准的第6章“内部ISMS审核”规定，组织要建立“内部ISM