審核是指：為獲得審核證據并對其進行客觀的評價，以確定滿足審核準則的程度所進行的系統的、獨立的并形成文件的過程。按照審核活動的委托方可以將審核分為內部審核和外部審核。
一、內部審核
ISO27001信息安全管理體系認證的內部審核：由企業或組織內部人員有計劃地、按照既定的時間間隔定期地（一般每年至少1次），對其信息安全管理體系符合性的自我評估和檢查。在這個審核中，要確保整個體系符合ISO/IEC 27001：2013標準和相關法律法規的要求，要符合已確定的信息安全的要求，確保體系得到有效的實施和保持。
在審核初期，一定要制定信息安全方針，發布并傳達給全體員工和外部相關方。如在積極預防、全面管理、控制風險、保障安全方面要定好目標。
信息安全目標的制定
使已識別的信息資產滿足信息安全的各項要求，包括法律法規、客戶與相關方和組織業務要求。具體目標包括：
1、信息泄露事件為零
2、引起組織主要業務中斷時間累計不能超過2h/年
3、嚴重影響網絡與信息系統可用性的事件小于1次/年
4、引起組織主要業務中斷事件發生次數小于1次/年
5、信息安全事件發生時，以損失最小化、恢復時間最短化、避免再次發生為目標。
內部審核的要求
1、公司建立并實施《內部審核程序》，明確審核的目的、體制、程序等內容，確保公司ISMS的符合性和有效性，符合已識別的信息安全要求；
2、審核組長負責監督內部審核的進行，并將審核情況報告信息安全負責人；
3、應安排具備審核員資格的人員進行審核，審核員不應審核自己部門的工作，以確保審核的公正性和客觀性；
4、公司按計劃的時間間隔（不超過1年）組織內部審核；審核計劃的安排應考慮部門的重要性及以往的執行情況；
5、有關審核的所有記錄應由信息安全戰略推進組進行保存
6、受審核部門應采取適當的措施，以消除發現的不符合項；
7、審核員應對所采取措施的情況進行跟蹤驗證，確保不符合項的結案；
二、外部審核
為迎接ISO27001認證外部審核，企業需要準備風險評估相關材料、內部審核相關材料、體系運作相關材料、管理評審相關材料、各類體系文件制度等資料以備查驗。
1、信息安全方針制定情況
2、控制措施選用情況
3、體系運作情況
4、文件體系的符合情況
5、各方面策略的指定情況
外部審核
1、外部審核也叫外審，可分為一審和二審，外審的時候認證機構會聯系負責人并約定好檢查時間到現場檢查。
2、外審主要是審核制度體系文件是否滿足標準，公司有沒按照體系制度的要求去執行，是否有運行記錄的產出，公司的總體情況以及看一下公司的辦公環境。針對信息安全部進行的，以了解情況為主，一般來說有問題可以當場整改。
3、一般一審只需要一天，審核人員為：審核組長。審核完成會出一份審核結果。如果不通過一般都在一審不通過，不需要二審了。
4、二審需要的時間會較長，具體的時間和費用會根據所申報的規模和人數去判定。
滬公網安備 31010502000282號