ISO 27001审计：如何准备及后续关键步骤

什么是ISO 27001审计及其重要性

ISO/IEC 27001审计作为信息安全管理体系（ISMS）的全面检查点，验证组织的安全实践是否符合严格的全球认可标准。这是一种形式化的方式，证明您不仅实践安全，而且有效地管理并持续改进。

ISO 27001审计类型

审计旅程涉及不同类型的评估，每种都有其独特目的：

• 内部审计（第一方）：由您自己的员工或内部审计团队执行，定期检查ISMS是否符合ISO 27001标准和公司自身要求。
• 外部审计（第二方）：通常由客户或对您组织有直接利益的其他方（如供应商或合作伙伴）执行，以评估您的安全状况。
• 认证审计（第三方）：由认可的认证机构执行，这是获得（或更新）ISO 27001证书所需的官方评估。初始认证涉及两个阶段过程：第1阶段（文件审查）和第2阶段（主要合规检查）。
• 监督审计：认证后，认证机构每年执行检查以确保持续合规，通常每九或十二个月一次。

关键审计目标和益处

审计发现不仅用于最终通过/不通过评分，还提供可操作的情报：

• IT/安全团队：使用发现来精确定位和优先处理漏洞修复工作，验证现有控制措施（如补丁或访问管理）的有效性，并为安全增强项目论证预算。
• 法律/合规团队（GRC）：对于GRC团队，审计报告是证明尽职调查的关键证据。它确认组织正在积极努力满足监管要求（例如GDPR、CCPA）并管理潜在法律风险。
• 管理/执行利益相关者：领导层使用审计结果清晰了解组织当前的安全状况，有助于战略规划和风险缓解的资源分配。成功的审计还提供竞争优势，向潜在客户证明可信度。

准备ISO 27001审计

充分准备对于顺利成功的ISO 27001审计至关重要。这个初始阶段涉及明确定义安全工作的边界，并确保所有基础文件完整准确。

确定ISMS范围并识别适用控制

准备审计的第一个关键步骤是定义信息安全管理体系（ISMS）的范围。这涉及明确说明哪些物理位置、系统、业务单元和流程受您的安全策略和控制覆盖。范围定义至关重要，因为它决定了审计的边界，并证明ISMS与您的法律、监管和合同要求保持一致。

定义范围后，您必须从ISO 27001的附件A中识别所有适用的控制措施。这在适用性声明（SoA）中形式化，该声明证明为什么每个附件A控制要么包含在您的ISMS中，要么被排除。构建良好的SoA向审计员显示您已系统考虑每个控制，并根据识别的风险适当应用。

审计员将审查的关键文件和证据

审计员将全面审查您的文件，以确保您的策略和程序与ISO 27001标准保持一致。基本文件包括：

• ISMS文件：您的核心文件，如信息安全策略、ISMS范围定义、适用性声明（SoA）和风险处理计划（RTP）。
• 操作证据：证明安全控制持续执行的记录，如访问控制列表、系统加固标准、安全意识培训记录和事件响应日志。
• 管理评审文件：管理评审会议记录（根据条款9.3），证明领导层定期评估ISMS的性能和有效性。
• 内部审计报告：内部审计的结果和为解决发现的任何差距而采取的纠正措施的证据（条款9.2）。

完成ISO 27001审计后的后续步骤

主要审计结束后，工作并未结束；只是重点转移。您将从记录和实施ISMS转向正式处理审计员的发现、修复差距，并最终获得认证。审计后的优先事项是审查结果、分类发现，并启动适当的纠正程序。

步骤1 - 审查您的推荐状态

您的认证审计员将通过以下三种状态之一总结其发现的结果：

• 推荐 - 审计中未发现不符合项，因此推荐ISO 27001认证。如果您收到此状态，可以跳到共享步骤（步骤6）。
• 制定行动计划后推荐 - 识别出一些轻微不符合项，但合规差距可以克服。
• 不推荐 - 不符合项太严重，无法在完全的安全控制和安全实践改革之外克服。

步骤2 - 审查您的不符合项

您需要做的第一件事是确定您的不符合项的严重性。有三个主要严重性类别：

• 主要不符合项 - 这是您不想落入的类别。如果您的审计员无法识别映射到ISO 27001标准的风险缓解程序，您将受到主要不符合项。换句话说，您的审计员得出结论，您未满足ISO 27001的安全目标和风险缓解要求。

  示例：组织没有正式记录的事件管理过程，未能满足条款6.1.3和相关附件A控制的要求。

  主要不符合项不一定是您ISO认证旅程的终点。您可以采取行动改变这一结果。

• 轻微不符合项 - 这意味着您的审计员已确认存在ISO 27001特定的风险缓解程序，但它要么无效，要么执行不当。然而，这种差异不影响您整体的ISO 27001认证潜力。

  示例：防火墙配置规则每年审查，但证据文件仅显示10个月的管理评审签名，而不是所需的12个月，表明部分程序不合规。

  多个轻微不符合项可能导致主要不符合项。

• 改进机会（OFI） - 这是当您的审计员识别出过程，一旦改进，将提高ISO 27001风险控制的效率。OFIs是推荐的改进行动，不是强制性的。

  尽管OFIs不是强制性的，及时实施将增加您三年后通过下一次ISO27001认证更新审计的机会。

您的审计员还应向您提供不符合项报告，详细说明每个发现的不符合项的关键发现和建议的纠正措施。当不符合项有可能被纠正时，您的审计员会将其状态设置为开放。当评估员接受为修正每个不符合项而采取的响应行动（如您提交的纠正措施计划和纠正证据报告中概述的）时，会分配关闭状态。

步骤3 - 提供纠正措施计划

未能通过ISO 27001认证不需要您重新设计整个审计计划和信息安全管理体系（ISMS）。您的外部审计员将为您的再认证审计提供认证指导，包括在"认证条款和条件"等部分中概述的高级风险处理计划。

对于每个不符合项，您必须向评估员提供详细说明如何解决的行动计划。此纠正措施计划必须在收到不符合项报告后14天内提交。然后，必须在30天内通过纠正证据报告提供证明您的纠正措施计划已实施的证据。

简而言之，响应ISO 27001不符合项时需要遵循三个关键步骤：

1. 在14天内向认证机构提供纠正措施计划。该计划应概述组织解决每个识别的不符合项的方法、每个行动的负责人以及每个行动将如何实施。
2. 在30天内向认证机构提供纠正证据。这是证明纠正措施计划中概述的立即行动已实施的证据。
3. 为所有不符合项提供补救证据。对于轻微不符合项，这在后续审查时到期；对于主要不符合项，这在审查结束后60天内到期。

这些文件需要提交给认证机构，然后他们才能发布ISO 27001认证和相关报告。

您的纠正措施计划（或纠正措施程序）应基于ISO 27001条款10.1。过程流示例包括：识别不符合项、将行动项添加到纠正措施日志、采取纠正措施、执行根本原因分析、评估行动的潜在影响，并进行必要的ISMS修改。

步骤4 - 提供纠正证据

每个不符合项的补救细节应在"不符合项声明"中概述，将您的努力分解为三个主要部分：

• 受影响的特定ISO 27001要求的概述。
• 纠正证据（EoC）证明风险管理团队已采取立即行动纠正导致不符合项的所有信息安全策略和信息安全风险。
• 将ISO 27001要求链接到您的证据文件的简要不符合项声明。

在承诺任何个别纠正行动之前，首先预测其对您的安全状况和与ISO 27001对齐程度的潜在影响是有帮助的。这将帮助您识别哪些响应行动应优先处理，以实现与ISO 27001标准的最快对齐。

步骤5 - 提供补救证据

根据根本原因分析的结果，提供您为处理每个识别根本原因而采取的补救行动的证据。此报告向审计员证明您能够持续满足ISO 27001标准的要求，并有助于在下一个审计周期简化审计程序。

您的补救任务可能是具有多个依赖项的复杂任务。在狭窄的60天窗口内管理这些复杂性需要有效的补救管理过程，跟踪每个响应任务的完整生命周期，并简化涉及方之间的对话。

所有补救工作（和纠正行动工作）的效力应在提交给审计机构之前由内部审计员确认。内部审计程序将确认所有不符合项及其根本原因是否已修复，将任何剩余问题视为增加通过认证审计机会的机会。

步骤6 - 分享您的ISO 27001认证

无论您是立即通过ISO 27001认证，还是通过严格的文件审查成功关闭不符合项，您终于获得了ISO 27001认证。

现在，是时候好好利用您的认证了。获得ISO 27001认证向潜在合作伙伴和现有客户展示了您模范的网络安全标准。因此，您的证书证据应易于这些方访问。

最有效的方法之一是在可共享的配置文件中托管所有ISO 27001认证支持文件。

步骤7 - 开始准备再认证

您的再认证还有三年才到期，但您现在应开始准备简化过程。

遵循这些最佳实践以提高成功再认证的机会：

• 发展持续改进文化 - 使用攻击面监控解决方案持续跟踪新兴风险。
• 实施定期ISO 27001内部审计 - 定期完成ISO 27001问卷，并根据差距分析解决对齐差异。为了使内部审计过程高效，最好使用自动发现对齐差距的安全问卷解决方案。
• 创建审计清单 - 审计清单防止您忽略在外部审计中将评估的ISMS的任何方面。

ISO 27001审计如何与更广泛的GRC工作对齐

ISO 27001审计不仅仅是安全练习；它是组织更广泛的治理、风险和合规（GRC）计划的基础组成部分。通过成功实施和审计ISMS，您创建了一个高度可重用的控制和文件系统，跨越其他框架。

利用审计结果实现多框架合规是加强企业风险管理（ERM）的有效方式：

• 核心原则：ISO 27001（特别是附件A）中详细的安全控制通常基于国际最佳实践，并且高度可重用跨越多个其他安全框架。这种重叠允许审计证据被映射和重用，节省时间和资源。
• 映射到NIST/SOC 2：最初为ISO 27001收集的控制证据，如资产清单或漏洞扫描报告，可以直接解决类似框架（如NIST网络安全框架或SOC 2信任服务标准（TSC））中的控制要求。
• 映射到金融法规（例如DORA）：ISMS的持续改进生命周期，需要持续的风险识别和处理（条款6.1.2和6.1.3），有助于满足金融法规（如数字运营弹性法案（DORA））中发现的弹性、风险治理和第三方风险管理任务。
• 加强ERM：ISO 27001要求的结构化信息风险管理方法提供了直接输入更大企业风险管理计划的形式化风险登记册。这使高管能够在更广泛的组织目标背景下查看信息安全风险，实现更具战略性的企业范围决策。

UpGuard如何帮助

UpGuard提供一系列功能，用于简化供应商与ISO 27001标准的对齐，包括：

• 安全评级预测 - 评估纠正行动对内部和供应商安全状况的影响，以制定最有效的纠正行动计划。
• ISO 27001安全问卷 - 使用ISO 27001特定问卷简化自我审计，该问卷基于问卷响应自动发现对齐差距。
• 风险评估管理 - 拥有映射到流行网络安全标准（包括ISO 27001）的问卷模板库，UpGuard可以帮助您查询源于其他安全控制缺陷的潜在不符合项根本原因。
• 补救计划器 - 轻松管理补救工作的完整生命周期，确保每个漏洞尽可能快速有效地解决。