ISMS内审员培训教程.ppt

ISMS内审员培训教程,SGS-CSTC通标标准技术服务有限公司SGS-CSTCStandardsTechnicalServicesCo.,Ltd.,第一部分信息安全基础知识及案例分析第二部分ISO27001标准正文部分详解ISO27001标准附录A详解第三部分信息安全风险评估与管理第四部分体系文件编写第五部分信息安全管理体系内部审核,课程内容,了解管理体系审核的基本概念掌握ISMS内部审核的流程掌握ISMS内部审核的方法和技巧,教学目标,主要内容,1、审核概论2、审核策划和准备3、现场审核活动的实施4、纠正措施及其跟踪5、ISMS评价,1.1定义为获得审核证据并对其进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的过程（ISO9000）1.2审核“成败”的关键系统的：正式、有序的审查活动独立的：保持审核的独立性和公正性,1审核概论,1.3审核的内容1、获得审核证据2、客观评价3、确定满足审核准则的程度1.4过程评价的四个基本问题1、过程是否已被识别并适当规定？2、职责是否已被分配？3、程序是否得到实施和保持？4、在实现所要求的结果方面，过程是否有效？,1审核概论,1.5审核的类型,组织,顾客,供方,认证/注册机构,第三方审核,(外部),第二方审核,第二方审核,第一方审核,(外部),(外部),(内部),1审核概论,1.6内部审核的目的,目的,主要依据：信息安全管理体系文件,外部审核前的准备,作为一种管理手段，是组织管理评审输入的重要内容,确保信息安全管理体系正常运行和改进的需要,1审核概论,1.7ISMS内审的时机、范围和频度按策划的时间间隔一般至少每年应覆盖ISMS所涉及部门、过程一次最初建立体系时频度可适当多一些特殊情况:发生严重信息安全问题或用户投诉组织机构、生产场所、信息安全方针目标等发生重大变化接受第二、第三方审核前,1审核概论,1.8ISMS内部审核的依据1、ISO27001:2005版标准2、信息安全管理手册3、程序文件4、信息安全策略5、有关的法律、法规6、其他信息安全管理文件,1审核概论,1.9ISMS内部审核的方式1、集中审核2、分散审核1.10ISMS审核的特点1、被审核的ISMS必须是正规的2、ISMS审核必须是一种正式的活动3、ISMS审核是一种抽样过程,1审核概论,1.11ISMS内部审核的一般顺序1、审核策划与审核准备2、现场审核实施与审核报告3、纠正措施的跟踪与汇总分析,1审核概论,领导重视是做好ISMS内部审核的关键信息安全经理要亲自抓ISMS内部审核工作ISMS内部审核工作需要一个职能部门来管理要组建一支合格的ISMS内部审核队伍ISMS内部审核需要一套正规的程序建立ISMS时应考虑ISMS内部审核工作,2ISMS内部审核的策划和准备,明确审核决定确定审核组文件审核编制审核计划编制检查表通知受审核部门并约定具体的审核时间,2ISMS内部审核的策划和准备,1、审核目的2、审核范围3、审核时间4、审核方式,2.1明确审核决定,1、审核人员的资格2、确保客观性和公正性3、专业能力4、审核组长：负责审核全过程及审核组管理工作5、审核员：在审核组长指导下进行审核,2.2确定审核组,目的：体系中所有过程是否被识别并适当规定；职责是否被分配；过程文件满足审核准则的程度对象：信息安全管理手册、程序文件、作业指导书、规范、风险处理计划等审核准则：标准、合同及有关的法律、法规,2.3文件审核,时机：在现场审核前进行；作业指导书、质量计划、规范等可以在现场审核时进行；结论：符合标准及法规的要求；部分不符合要求；没有覆盖标准及法规的要求；注意事项：不仅要审核过程文件，还要审核过程之间的接口是否明确、协调,2.3文件审核,组织的大小和性质员工数量体系复杂性ISMS的范围涉及的地点数目信息类型-文件/电子等,2.4编制审核计划_要求考虑,审核目的审核范围审核准则审核组成员及其分工现场审核活动的日程安排必要的审核资源的配备其它(如审核时所用语言、保密承诺等)审核计划示例：,2.4编制审核计划_内容,NO.20080118-01审核时间:2008年1月18日1月19日审核目的:验证本公司的ISMS是否符合ISO27001:2005版以及公司ISMS文件的要求，ISMS是否得到有效实施，是否具备申请第三方ISO27001:2005认证注册的条件审核范围:ISMS所涉及的部门和过程审核依据:ISO27001:2005、公司信息安全管理手册（LXM01）第1版、有关的信息管理文件审核组成员:(组长)A；B；C；,公司ISMS内部审核计划,说明:对条款的审核还将结合其它条款的审核同时进行,公司ISMS内部审核计划,注：对以上人员和日程安排如有异议，请及时反馈。拟制：（组长）日期：批准：（信息安全经理）日期：,公司ISMS内部审核计划,一、检查表的作用1、明确与审核目标有关的样本2、使审核程序规范化3、按检查表的要求进行调查研究，可使审核目标始终保持明确4、保持审核进度5、作为审核记录存档6、减少重复的或不必要的工作量7、减少内审员的偏见和随意性,2.5编制检查表,二、检查表的内容1、列出审核项目的要点（确保完整）2、明确审核步骤和方法，进行抽样量的设计注：ISMS所涉及的过程和部门不能抽样，不同的类型不能抽样,2.5编制检查表,三、设计检查表的注意事项1、对照标准和ISMS文件2、部门与过程相对应3、选择典型的信息安全问题，抽样应有代表性4、注意逻辑顺序，明确审核步骤5、按部门编制的检查表要考虑涉及的条款，按条款编制的检查表要考虑涉及的部门6、常见问题：陈述句变疑问句；只列出审核项目，忽略审核方法和抽样量的设计；仅依据标准，不符合实际,2.5编制检查表,四、运用检查表的注意事项1、自己掌握，没必要披露2、不要照本宣科3、不要拘泥于检查表五、检查表举例,2.5编制检查表,2.5编制检查表,五、检查表举例,2.5编制检查表,五、检查表举例,3.1审核过程的控制3.2首次会议3.3审核方法3.4审核证据3.5不合格项报告3.6汇总分析3.7末次会议3.8审核报告,3现场审核活动的实施,一、审核计划的控制二、审核活动的控制1、样本策划合理2、辩识关键过程3、评定主要因素4、重视控制结果5、注意相关影响6、营造良好的审核气氛,3.1审核过程的控制,三、审核结果的控制1、合格或不合格要以事实为基础2、不合格事实要得到受审核方确认3、道听途说不能作为证据4、组内要相互沟通，统一意见,3.1审核过程的控制,一、首次会议的内容和程序1、人员介绍2、说明审核目的和范围3、审核计划的确认4、落实后勤安排5、阐明一些重要的问题6、有关审核原则的强调7、澄清一些问题二、首次会议的时间、地点及参加人员,3.2首次会议,审核方式方法：如何抽样查证1、顺向追踪2、逆向追踪3、部门审核4、过程审核,3.3审核方法,审核的基本方法:抽样,顺向追踪：从影响信息安全的因素跟踪到结束按照业务流程的自然顺序从文件跟踪至实施记录优点：系统性强，可观察接口缺点：较费时,3.3审核方法,逆向追踪：从已形成的结果追溯到影响因素的控制按照业务流程的逆向顺序从现场记录追溯到体系文件的规定优点：从结果找原因，针对性强；有利于发现问题缺点：问题复杂时不易理清（对审核员技术要求高）,3.3审核方法,部门审核：以部门为中心进行一个部门要涉及多个标准条款以部门的主要职能为主线，涉及相关的职能优点：节约审核时间缺点：可能有疏漏，审核准备时要充分考虑相关因素，审核过程中思路要清晰，审核组内部沟通要求高,3.3审核方法,过程审核：以过程为中心进行一个过程要涉及多个部门、多个标准条款要求优点：完整、不易遗漏缺点：部门地点重复往返多，费事；对审核员要求高,3.3审核方法,过程方法的审核思路：建立过程审核的观念，从过程的策划查到过程的实施及效果（PDCA逻辑结构）：过程的目标过程的策划过程的实施测量监控持续改进,3.3审核方法,1、审核证据的定义(ISO90003.9.4):与审核准则有关的并且能够证实的记录、事实陈述或其他信息。注:审核证据可以是定性或定量的。2、在审核中应分清什么可以作为审核证据,什么不可以作为审核证据。,3.4审核证据,可作审核证据存在的客观事实或情况部门负责人或当事人谈话（并有其他实物旁证）现行有效文件（审核当前的信息安全活动）和有效的信息安全记录,不可作审核证据估计、猜想、分析、推断陪同人员或其他无关人员谈话、传闻过期的或作废的文件，擅自涂改的信息安全记录，未经证实的新闻报道,3.4审核证据,案例：星际公司的一位设计工程师张三被通知上午10点钟到李飞的办公室开会，主要讨论一宗大订单的详细规范。在他去李飞办公室的路上，遇到了事故，受了重伤。李飞接到张三出事的消息时，张三已被送往医院做X光透视。李飞给医院打电话想问一下情况，但好象没有人知道张三的任何情况，很可能李飞打错了医院的电话。,3.4审核证据,请问以下陈述是否正确：张三是一位工程师。张三要去见李飞。张三要去参加的会定在上午10点钟开。该事故发生在星际公司。张三被送到了医院做X光透视。李飞打电话询问的医院里没有人知道张三的任何事。李飞打错了医院的电话。,3.4审核证据,审核证据的获得方法查阅文件和记录现场观察提问与交流实际测定,3.4审核证据,提问的技巧封闭式：可用简单的“是”或“否”回答用以获取专门的信息有主动权，但信息量小开放式：答案需要解释或表达可获得较大的信息量被动，有时会浪费时间澄清式：用以获得更多的专门信息或确认已获得的信息，带有主观导向，不能经常用,3.4审核证据,开放式提问的技巧：带主题的问题什么是如何做？扩展性的问题为什么、如何、怎样？讨论性的问题说出个人见解调查性的问题觉得怎样、有什么想法重复性的问题得到明确的答案假设性的问题如果则验证性的问题请拿出证据、在哪儿,3.4审核证据,观察的技巧：是否符合正常作业所需的环境条件审核现场人员的工作状态是否符合信息安全规定要求资产、设备的状态过程的记录面谈人员的神态,3.4审核证据,随时记录审核过程情况时间、地点访问、调查的对象见证人观察（表格、文件、记录、编写等）到的实施,3.4审核证据,一、不合格项：未满足审核准则要求二、不合格项分类1、按性质分类a.体系性不合格b.实施性不合格c.效果性不合格2、按严重程度分类a.严重不合格b.一般不合格,3.5不合格项报告,严重某个部门内，与之相关条款要求执行的普遍失效某个条款要求在体系内部完全缺失违反相关法律法规要求可导致重大信息安全即时事故或顾客投诉的事项不执行一个以上所需要的体系要素（CH4-8任一条要求或ISMS方针和程序）一般不符合项若持久稳固的存在，则可作为重大不符合项轻微信息安全管理体系的过程、程序或操作的轻微的问題偶然发生的不符合事项如出现的记录不完整，或容易改正的个别缺陷观察项：不会对信息安全造成有意义的影响，可能有潜在影响的一种发现,、不符合性分类及判定,3.5不合格项报告,不符合事实描述的要求：1.准确地描述观察到的事实，包括时间地点人物（用职务职称而不用人名）何种情况等。2.使其有重查性和可追溯性。3.简明精炼，抓住核心的不符合加以提炼。4.对统计数据要有分析和归纳，不要遗漏任何有益信息。5.观点结论要从描述中自然流露，不要光写结论，不写事实。,3.5不合格项报告,不符合事实例举：不好的描述：xx部门少数借阅记录有乱写乱画现象。好的描述：xx部门xx信息借阅登记薄在2007年9月18日的借阅记录上不能辨识借阅人和批准人。,3.5不合格项报告,三、不合格报告1、核心内容a.不符合事实描述时间、地点、人物、细节尽量具体；无关的内容不填写b.理由:哪一点做错了?c.不符合标准哪一条款?d.严重程度2、总要求清楚、正确、全面、简练,3.5不合格项报告,3、应避免的词语似乎好象总的说来曾经有人说过4、用下一页的表格学员进行“不符合项书写”5、分组进行“不符合项案例”分析,3.5不合格项报告,公司内部ISMS审核不合格报告,报告编号：200001180101,3.5不合格项报告,5、判定原则就近不就远（从直接原因上找）就小不就大（慎判严重不合格）应对被审核部门有帮助（仅是从文件到文件，对部门提高信息安全管理水平帮助不大，可以不提）有利于被审核部门采取纠正措施（应考虑条款的正确性）按不合格的结果或事实找对应条款（不应按不合格事实去推测其可能的原因）,3.5不合格项报告,一、末次会议的目的1、向受审核方领导介绍审核观察结果2、宣布审核结论3、提出下面的要求（跟踪、监督）4、结束现场审核二、末次会议的内容1、感谢2、重申审核的目的和范围3、讲清审核的局限方面4、提交不合格报告,3.6末次会议,5、澄清疑问6、提出采取纠正措施要求7、对本次审核作出总结8、宣读审核结论9、受审核方领导讲话三、末次会议的时间、地点及参加人员,3.6末次会议,一、对不符合项从体系性、实施性和效果性来进行分析二、从不符合项发展的历史和趋势进行分析三、总结受审核部门信息安全管理工作的优点四、从部门的角度进行分析五、从过程或条款的角度进行分析,3.7汇总分析,一、审核目的和范围二、审核组成员和受审核部门三、审核日期四、审核依据五、审核情况的概述六、不合格项分布表（不合格项报告作为附件）七、ISMS有效运行的结论性意见八、审核报告的分发清单,3.8审核报告,内审总结报告,编号：,3.8审核报告,3.8审核报告,一、纠正措施的定义二、纠正措施的几个方面1、补救方面的针对问题2、原因分析3、永久性的防止再次发生4、确定纠正措施的期限,4纠正措施及其跟踪,纠正措施的跟踪和验证时机：按纠正措施确定的时间实施者：内审员/审核组长/管理者代表验证的内容：计划是否按规定日期完成计划中的各项措施是否都已完成完成后的效果如何实施情况是否可查如引起文件的修改，是否按文件控制要求进行文件更改控制，现行文件是否实施,4纠正措施及其跟踪,符合性和有效性评价文件化体系对标准的符合程度文件化体系的实施程度及持续改进的机制ISMS实施的有效程度,5ISMS评价,持续改进每年最少一次审核关闭不一致的区域评价风险评估的有效性评价适用性声明的有效性,安全方针管理委员会会议安全事件方针和程序执行的效果,审核案例1,必须的文件ISMS方针文件，包括ISMS的范围风险评估程序风险处理程序文件控制程序记录控制程序内部审核程序纠正措施与预防措施程序控制措施有效性的测量程序（4.3.1i）适用性声明管理评审程序其它的文件,容量管理、系统验收A10.3.1A10.3.2信息备份A10.5.1业务信息系统A10.8.5用户访问管理A11.2.1-4应用系统和信息访问控制A11.6.1-2技术脆弱性管理A12.6.1信息系统审核考虑A15.3.1-2监视A10.10.1-6,审核案例2,如何对组织内部的0A系统进行审核？,总结,审核的基本概念ISMS内部审核的基础知识ISMS内部审核的流程ISMS内部审核的活动ISMS内部审核的方法和技巧,谢谢!,、书籍是全世界的营养品。生活里没有书籍，就好像没有阳光；智慧里没有书籍，就好像鸟儿没有翅膀莎士比亚2、书籍使人变得思想奔放。革拉特珂夫3、书籍是造就灵魂的工具雨果4、经验丰富的人读书用两只眼睛，一只眼睛看到纸面上的话，另一只眼睛看到纸的背面。歌德5、我扑在书籍上，就好像饥饿的人扑在面包上。高尔基6、书籍是巨大的力量。列宁7、书人类发出的最美妙的声音。莱文8、生活在我们这个世界里，不读书就完全不可能了解人。高尔基9、黑发不知勤学早，白首方悔读书迟。颜真卿10、书是良药，善读之可以医愚。刘向11、读书破万卷，下笔如有神。杜甫12、在你渴望时，它前来给予详细指教，但是从不纠缠不休。比切13、书籍是少年的食物，它使老年人快乐，也是繁荣的装饰和危难的避难所，慰人心灵。在家庭成为快乐的种子，在外也不致成为障碍物，但在旅行之际，却是夜间的伴侣西塞罗14、过去一切时代的精华尽在书中。卡莱尔15、书籍并不是没有生命的东西，它包藏着一种生命的潜力，与作者同样地活跃。不仅如此，它还像一个宝瓶，把作者生机勃勃的智慧中最纯净的精华保存起来弥尔顿16、每一本书都是一个用黑字印在白纸上的灵魂，只要我的眼睛、我的理智接触了它，它就活起来了。高尔基17、读一本好书，就是和许多高尚的人谈话。笛卡尔18、读书之于头脑，好比运动之于身体。爱迪生19、书籍乃世人积累智慧之长明灯寇第斯20、光阴给我们经验，读书给我们知识。奥斯特洛夫斯基21、读书有三到，谓心到，眼到，口到。朱熹22、书籍是青年人不可分离的生命伴侣和导师。高尔基23、和书籍生活在一起，永远不会叹气。罗曼罗兰24、书籍是最好的朋友。当生活中遇到任何困难的时候，你都可以向它求助，它永远不会背弃你都德25、书籍通过心灵观察世界的窗口。住宅里没有书，犹如房间没有窗户。威尔逊26、读一本好书，象交了一个益友。臧克家27、读万卷书，行万里路。刘彝15)时间一天天过去，有时觉得它漫长难熬，有时却又感到那么短促;有时愉快幸福，有时又悲伤惆怅。一天与一天不同，一日和一日有别，仿佛一昼夜之间也有春夏秋冬之分。;阿;巴巴耶娃16)世界上最快而又最慢，最长而又最短，最平凡而又最珍贵，最容易被人忽视，而又最令人后悔的就是时间。;高尔基17)在人类生活中，时间刹那而过，它的本体是处于一个流动状态中，知觉是昏钝的，整个肉体的构成是易腐朽的，灵魂是一个疾转之物，运气是很难预料的，名望是缺乏见识的东西。;马尔库;奥勒留18)时间就是金钱，而且对用它来计算利益的人来说，是一笔巨大的金额。;狄更斯19)时间会刺破青春表面的彩饰，会在美人的额上掘深沟浅槽;会吃掉稀世之珍!天生丽质，什么都逃不过他那横扫的镰刀。;莎士比亚20)浪费别人的时间等于是谋财害命，浪费自己的时间等于是慢性自杀。;列宁关于描写时间的名人名言1)时间是衡量事业的标准。;培根2)生命是短促的，然而尽管如此，人们还是有时间讲究礼仪。;爱献生3)历史孕育了真理，它能和时间抗衡，把遗闻旧事保藏下来。它是往昔的迹象，当代的鉴戒，后世的教训。;塞万提斯4)时间是由分秒积成的，善于利用零星时间的人，才会做出更大的成绩来。;华罗庚5)时间是人类发展的空间。;马克思6)在无限的时间的河流里，人生仅仅是微小又微小的波浪。;郭小川7)重复言说多半是一种时间上的损失。;培根8)开诚布公与否和友情的深浅，不应该用时间的长短来衡量。;巴尔扎克9)真正的敏捷是一件很有价值的事。因为时间是衡量事业的标准，如金钱是衡量货物的标准。;弗;培根10)正当利用时间!你要理解什么，不要舍近求远。;歌德11)人的全部本领无非是耐心和时间的混合物。;巴尔扎克12)生命的长短以时间来计算，生命的价值以贡献来计算。;裴多菲13)敢于浪费哪怕一个钟头时间的人，说明他还不懂得珍惜生命的全部价值。;达尔文14)有了朋友，生命才显出它全部的价值;一个人活着是为了朋友;保持自己生命的完整，不受时间侵蚀，也是为了朋友。友谊要像爱情一样才温暖人心，爱情要像友谊一样才牢不可破。;穆尔;约翰15)从不浪费时间的人，没有工夫抱怨时间不够。;杰弗逊16)不善于利用时间的人，总是首先抱怨没有时间，因为他把时间都耗费在穿吃睡和聊天上，去考虑该做什么，而只是什么也不去做。;拉布吕耶尔17)时间给勤劳者留下串串的果实，而给懒汉只留下一头白发和空空的双手。;高尔基18)在时间的大钟上，只有两个字;现在。;莎士比亚19)好事总是需要时间，不付出大量的心血和劳动是做不成大事的。想吃核桃，就是得首先咬开坚硬的果壳。;格里美尔斯豪森20)合理安排时间，就等于节约时间。培根描写时间的名人名言推荐1)不管饕餮的时间怎样吞噬着一切，我们要在这一息尚存的时候，努力博取我们的声誉，使时间的镰刀不能伤害我们。;莎士比亚2)少壮不努力，老大徒伤悲。;长歌行3)实际上，没有一种社会形态能