原创力文档- 1、本文档共23页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 5、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 6、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
附录A（资料性附录）
ISMS审核实践指南
A.1概述
本附录对声称符合GB/T22080的组织提供有关如何审核ISMS的通用指南。由于本指南旨在适用于
所有ISMS审核，所以无论涉及的组织的是何规模或性质，本指南均适用。本指南旨在供开展ISMS内部
或外部审核的审核员使用。
注：GB/T31496根据GB/T22080给出了实施和操作ISMS的指南。
A.2总则
A.2.1审核目标、范围、准则和审核证据
在审核活动期间，宜通过适当的抽样方式获得并验证与审核目标、范围和准则有关的信息，包括职
责，活动和过程之间的接口相关的信息。只有能够证实的信息才可作为审核证据。宜记录导致审核发现
的审核证据。
获取信息的方法包括以下内容：
—访谈；
—观察；
—文件评审，包括记录。
A.2.2ISMS审核策略
GB/T22080遵循ISO/IEC导则第1部分附录JC和融合的JTC1补充部分中的顶层结构、相同的章节
标题、核心文本、通用术语与核心定义—JTC1特定规程。GB/T22080定义了一组相互依赖的要求，这
些要求作为一个整体发挥作用（通常被称为“系统方法”），并通过交叉引用予以部署。
在审核时最好同时处理实践中密切相关的GB/T22080条款。相关示例请参见表A.2。
例如6.1.3和8.3以及6.2，5.1、5.2，5.3、7.1、7.4、7.5、9.1、9.3和10.2，同时审核这些条款及
其关联或相关条款才有意义。
GB/T22080—20167.5提出了有关文件化信息的要求。如表A.2中A.4.5所述，每次审核员检查一份
文件化信息时，都是确认其是否符合GB/T22080—20167.5要求的机会。有关如何执行上述内容的指南
在表A.2的A.4.5中。对于表中每次出现“文件化信息”将不再重复对文件化信息的要求。
A.2.3审核和文件化信息
审核活动涉及文件化信息，即：
a）在GB/T22080中文件化信息的要求条款可用作审核准则；
b）以下文件化信息可作为审核证据：
1）GB/T22080—20167.5.1b）中要求的文件化信息；
2）由组织确定的，GB/T22080—20167.5.1c）中要求的ISMS有效运行所必需的文件化信息。
除A.2.3b）中所列的审核证据，审核员将通过访谈、观察和文件评审（包括记录）获得其他审核证
据。
有关GB/T22080的文件化信息的详细讨论可在A.3中找到。
A.3GB/T22080文件化信息要求指南
A.3.1基本原理
审核员提出要求将文件化信息作为符合性证据时宜注意：
a）表A.1中所列的对文件化信息的16项明确要求，包括适用性声明；
b）其他要求：
1）可从上述文件化信息中找出符合性证据；
2）文件化信息未体现显性或隐性要求。
表A.1GB/T22080中对文件化信息的要求
有关的文件化信息要求参考GB/T22080
ISMS的范围4.3
信息安全策略5.2
信息安全风险评估过程6.1.2
信息安全风险处置过程6.1.3
适用性声明6.1.3d）
信息安全目标6.2
能力的证据7.2
文档评论（0）