信息安全管理体系内审与风险评估工具包

ISO/IEC27001信息安全管理体系内审与风险评估工具包ISO27001信息安全管理体系内审与风险评估工具包资产清单｜风险评估｜控制措施｜内审表｜整改计划｜管理评审适用对象：信息安全负责人、体系负责人、内审员、风险管理人员、IT与业务部门负责人。使用场景：建立和维护信息安全管理体系、开展风险评估、组织年度内审、跟踪整改、准备管理评审。使用建议：先界定范围和资产，再完成风险评价与处置，随后以控制措施和运行证据支撑内审，最终进入整改和管理评审闭环。

一、使用说明本资料将信息安全管理体系运行中的关键动作整理为可直接填写的表格和记录模板，覆盖范围界定、资产识别、风险评价、控制措施选择、内审实施、问题整改、管理评审与持续改进。各表格可根据组织规模、行业监管要求、业务复杂度和已有管理流程进行裁剪。使用前先明确体系覆盖的组织边界、地点、业务流程、信息系统、云服务、外包活动和关键数据类型。风险评价采用“影响程度×发生可能性”的基础模型，并允许结合保密性、完整性、可用性、合规影响、客户影响和业务连续性进行综合判断。控制措施不宜只做形式化勾选，应能对应风险、责任人、实施状态、运行记录、监控指标和验证证据。内审应关注体系是否被实际执行，不能仅核对文件是否存在；抽样应覆盖关键资产、高风险流程、外包活动、历史问题和近期变更。整改闭环应包含原因分析、纠正措施、预防措施、责任人、完成期限、证据、验证结果和遗留风险说明。表1资料结构与使用顺序阶段核心任务建议使用的表格主要输出下一步动作1范围界定确认ISMS覆盖边界、业务活动、组织角色和外部要求表2、表3、表4适用范围说明、职责分工、相关方要求启动资产识别2资产识别识别信息、软件、硬件、人员、服务、场所、供应商等资产表5、表6、表8资产清单、信息分级、信息流说明进入风险识别3风险评价识别威胁、脆弱性、影响、可能性和现有控制表9、表10、表11风险等级与优先级制定处置计划4控制措施选择风险处置方式，确定措施、责任人、证据与完成期限表12、表13、表14、表15处置计划、控制措施适用说明、残余风险确认运行与监控5内审整改制定内审方案，实施访谈、抽样和记录，跟踪整改表16至表23内审报告、不符合项、整改验证结果提交管理评审6管理评审评价体系适宜性、充分性和有效性，形成决策与资源安排表24至表30评审结论、改进事项、资源需求持续改进二、资料依据与适用边界本资料参考公开可识别的管理体系、风险管理和审核方法名称编制，用于帮助组织建立内部工作表单和检查记录。资料不替代正式标准文本、认证机构要求、监管意见、合同约定或专业安全评估结论。表2参考依据与适用边界参考名称可用于本资料的范围使用边界ISO/IEC27001:2022信息安全管理体系要求用于理解ISMS的范围、领导作用、策划、支持、运行、绩效评价、改进等管理过程不逐条复现要求内容，组织应以正式文本和认证机构解释为准ISO/IEC27002:2022信息安全控制措施指南用于控制措施主题设计、控制证据归集和改进方向参考控制选择须结合风险评价和业务环境，不宜机械套用ISO/IEC27005:2022信息安全风险管理指南用于风险识别、分析、评价、处置、沟通和监视流程设计本资料采用简化评分法，复杂场景可引入定量分析或专项评估ISO19011:2018管理体系审核指南用于内审方案、审核原则、审核实施、审核员能力和审核报告思路内部审核结论不能替代外部认证审核结论适用的网络安全、数据安全、个人信息保护、行业监管和合同要求用于识别合规义务、客户安全条款、数据处理限制和审计要求不同地区和行业差异较大，应由组织结合适用法规和合同确认三、范围界定、职责与相关方要求表3ISMS适用范围界定表项目填写内容示例行确认人更新频率组织边界覆盖的法人、事业部、部门、项目组覆盖总部信息技术部、客户服务中心、研发中心与云平台运维团队管理者代表每年或组织结构重大变化时地点边界办公地点、机房、仓库、远程办公地点、云区域上海办公区、北京灾备机房、华东云资源池、授权远程办公场景行政与IT负责人每年或地点变化时业务边界纳入的产品、服务、流程、客户交付活动客户数据处理、SaaS平台运维、售后工单处理、供应商远程支持业务负责人每年或业务上线时技术边界关键系统、网络、终端、数据库、接口、第三方服务客户管理系统、堡垒机、日志平台、备份平台、身份认证服务IT负责人季度复核排除说明未纳入范围的业务或地点及理由线下营销活动仅使用公开资料，不处理客户敏感数据，暂不纳入核心范围体系负责人每年复核边界接口范围内外的接口、责任衔接和数据流转方式客户服务中心向财务系统传递账单编号，不传递完整身份信息流程负责人每半年复核表4内外部因素与相关方要求识别表类别因素或相关方关注点对ISMS的影响应对措施责任部门证据/记录外部因素客户对数据安全审计要求提高客户希望了解访问控制、备份、日志和供应商管理情况需提供更完整的运行证据和整改闭环记录建立客户安全问卷答复库和证据索引信息安全部客户问卷、证据目录外部因素云服务架构快速变化资源配置、密钥、日志、跨区域备份等控制变化频繁资产清单和风险评估需随变更同步更新将云资源纳入月度资产核对云平台团队云资源导出清单内部因素研发迭代频繁需求、代码、上线、回滚和权限临时开放较多变更管理和访问授权风险上升设置上线审批、灰度验证和应急回退记录研发中心上线单、审批记录相关方监管机构关注个人信息保护、日志留存、事件报告和安全保障措施需识别合规义务并形成检查证据建立合规义务台账并定期评审法务合规部法规识别表、评审记录相关方员工与外包人员关注账号权限、设备使用、保密义务和安全培训需明确行为规范和签收记录开展入职、年度和离岗安全管理人力资源部培训签到、离岗交接单表5信息安全职责分工表角色/部门主要职责关键输入关键输出协作对象示例证据最高管理层批准方针、目标、资源和重大残余风险接受事项管理评审材料、重大风险清单评审决议、资源安排、风险接受意见体系负责人、业务负责人管理评审记录信息安全负责人组织风险评估、控制措施落实、内审与改进跟踪资产清单、风险登记、审计发现风险评估报告、整改跟踪表、绩效指标IT、业务、法务、人力风险评估会议纪要资产责任人维护资产信息、评估影响、确认访问权限和处置措施资产变更、权限清单、事件记录资产台账、风险确认、整改证据系统管理员、业务用户资产核对记录内审员按计划实施审核、记录证据、形成发现和建议审核计划、检查表、抽样清单审核记录、不符合项、审核报告受审部门、体系负责人访谈记录、抽样记录系统管理员执行账号、配置、备份、日志、补丁和监控控制运维制度、变更单、告警记录运维记录、日志审查、备份恢复测试IT负责人、业务部门备份记录、权限导出业务部门负责人识别业务风险、确认影响等级、推动部门整改业务流程、客户要求、历史问题风险确认、整改计划、运行记录信息安全部、IT部门会议纪要、整改证据四、资产识别、分级与信息流梳理表6信息资产分类台账资产编号资产类别资产名称责任人位置/系统承载信息保密性完整性可用性当前状态示例证据A-001信息/数据客户主数据表客户运营经理CRM数据库客户姓名、联系方式、合同编号、服务记录高高中在用数据字典、权限清单A-002软件/系统客户服务工单系统客服负责人生产云环境客户问题、处理记录、服务SLA中高高在用系统清单、架构图A-003硬件/设备堡垒机运维经理核心运维区管理员访问记录和会话日志高高高在用设备台账、日志截图A-004人员/岗位数据库管理员IT负责人远程与现场运维数据库运维权限和变更操作高高中在岗岗位说明、授权记录A-005服务/供应商云对象存储服务云平台负责人华东云区域备份文件、日志归档、导出报表高中高在用合同、配置清单A-006场所/环境核心机房行政经理北京灾备机房备份设备、网络设备、存储介质中高高在用门禁记录、巡检表待补充待填写待填写待填写待填写待填写待评估待评估待评估待填写待提交证据位置或编号表7信息资产分级与处理规则表分级适用信息示例访问控制要求传输要求存储要求销毁要求示例行公开官网内容、公开宣传材料、已公开招聘信息允许授权人员对外公布，对外公布前完成内容确认可通过公开渠道传输保存于普通共享目录，防止未授权篡改按普通文件清理流程处理官网新闻稿对外公布前由品牌与法务确认内部内部会议纪要、一般流程文件、非敏感统计报表仅组织内部授权人员访问使用企业邮箱或协作平台传输存储于受控共享空间按记录保存期限删除月度运维会议纪要存入部门受控目录敏感客户联系人、合同价格、内部审计记录、风险评估结果按岗位最小权限授权，定期复核加密传输或使用受控平台加密存储或限制导出清除可恢复副本并留存记录客户联系人导出需主管审批并记录用途重要认证凭据、密钥、核心配置、批量个人信息、关键源代码严格授权、双人复核或分权管理强制加密通道，禁止普通邮件发送专用密钥管理或加密库，启用日志监控物理销毁或安全擦除并复核生产数据库账号密码存入密钥管理平台表8业务流程与信息流梳理表流程编号业务流程起点与终点输入信息处理系统/人员输出信息传输方式关键风险点责任人P-001客户开通服务合同生效至账号开通客户组织名称、联系人、服务套餐CRM、工单系统、客服专员账号开通记录、服务通知系统接口、企业邮箱开通权限超范围、邮件误发客户运营经理P-002生产变更上线需求批准至版本上线需求单、代码包、配置文件研发、测试、运维、上线平台上线记录、回滚方案、监控结果代码仓库、上线平台未经审批上线、回滚不可用研发负责人P-003数据导出分析业务申请至报表归档客户服务数据、筛选条件数据分析师、报表平台脱敏报表、统计图表受控下载、协作平台导出范围过大、脱敏不足数据分析负责人P-004供应商远程支持故障申报至问题关闭故障描述、日志片段、临时访问需求供应商工程师、运维人员、堡垒机故障处理记录、访问日志远程接入、工单系统临时权限未回收、日志缺失运维经理待补充待填写待填写待填写待填写待填写待填写待填写待填写表9法律法规、合同与监管要求识别表编号要求来源要求主题适用范围关键义务摘要对应控制/流程责任部门评审周期证据位置R-REQ-001客户合同安全附件访问控制与审计配合客户数据处理和系统运维需限制最小权限、保存访问记录、配合合理安全问卷访问审批、日志审查、客户审计答复信息安全部半年合同库、证据目录R-REQ-002个人信息保护相关要求个人信息处理安全客户联系人和服务记录需明确处理目的、访问限制、留存期限、响应个人权利请求数据分类、权限复核、留存管理法务合规部半年合规义务台账R-REQ-003行业监管通知安全事件报告生产系统和客户数据事件达到报告条件时按内部流程升级并留存处置记录事件响应、应急演练、管理评审信息安全部季度事件台账、演练报告R-REQ-004供应商合同保密与远程支持外包开发、云服务、运维支持需签署保密承诺、限定访问目的、保留服务记录供应商准入、访问控制、工单管理采购与IT年度供应商档案待补充待填写待填写待填写待填写待填写待填写待填写待填写五、风险识别、评价与处置建议先完成资产和信息流梳理，再逐项识别威胁、脆弱性、现有控制和潜在影响。评分模型可按组织风险偏好调整，关键在于评分口径一致、证据可追溯、处置优先级明确。表10威胁与脆弱性识别库威胁类别典型情形可能利用的脆弱性影响方向常见控制措施示例资产账号与权限弱口令、共享账号、离职账号未禁用、特权滥用缺少多因素认证、权限复核不及时、授权记录不完整保密性、完整性身份认证、最小权限、定期复核、特权操作审计CRM、数据库、堡垒机恶意代码钓鱼邮件、恶意附件、勒索软件、终端感染终端防护缺失、补丁滞后、员工识别能力不足可用性、完整性终端防护、邮件网关、补丁管理、培训演练办公终端、文件服务器配置缺陷云存储公开、端口暴露、默认配置未修改缺少基线检查、变更审批不足、配置清单不完整保密性、可用性配置基线、自动扫描、变更审批、定期核查云资源、网络设备数据处理错误误发邮件、导出范围过大、脱敏失败缺少复核、数据分类不清、导出审批缺失保密性、合规数据分级、导出审批、脱敏校验、发送前确认客户数据、报表平台供应商风险外包人员越权访问、服务中断、合同义务不清准入评估不足、远程访问缺少监控、退出机制缺失保密性、可用性、合规供应商评估、合同条款、访问隔离、退出评审云服务、外包运维物理与环境未授权进入、设备丢失、机房断电、环境异常门禁管理不足、资产标识缺失、备份电源不足可用性、保密性门禁、巡检、监控、备电、介质登记机房、移动设备业务连续性关键系统不可用、备份恢复失败、单点故障备份策略未验证、容量预警缺失、依赖关系不清可用性、客户影响备份恢复测试、监控告警、应急预案、冗余设计工单系统、数据库表11风险评价准则表评分项1分2分3分4分5分影响程度影响轻微，内部可快速恢复影响有限，单个部门短时受影响影响中等，客户服务或合规记录受到明显影响影响重大，关键业务中断或敏感信息较大范围暴露影响严重，可能导致重大合规、客户、财务或声誉后果发生可能性理论上可能，近年无类似事件较少发生，有个别外部案例偶尔发生，组织存在类似缺陷或告警较可能发生，近期出现多次异常或缺陷很可能发生，控制缺失且威胁活跃控制有效性调整控制充分且证据稳定，可降低一级风险控制基本有效，少量证据待补充控制部分有效，依赖人工且执行不稳定控制薄弱，缺少复核或监控控制缺失或无法证明有效风险等级口径1-4：低5-9：中10-14：较高15-19：高20-25：重大表12风险等级矩阵可能性\影响1轻微2有限3中等4重大5严重处置建议1罕见低低低中中记录并按常规控制维护2较少低低中中较高纳入改进计划或加强监控3偶尔低中中较高高明确责任人和完成期限4较可能中中较高高重大优先整改并跟踪残余风险5很可能中较高高重大重大立即制定处置方案并向管理层报告表13风险评估登记表风险编号资产编号/流程风险描述威胁脆弱性现有控制影响可能性初始等级处置方式残余等级责任人R-001A-001客户主数据表客户数据被未授权导出或误发越权访问、误操作导出审批不完整，权限复核不及时角色权限、操作日志、导出申请53高降低：加强导出审批、脱敏和月度复核中客户运营经理R-002P-002生产变更上线未经充分测试的变更导致服务不可用配置错误、上线失误回滚方案不完整，审批证据分散上线审批、监控告警43较高降低：统一上线单、强制回滚验证中研发负责人R-003A-005云对象存储服务备份文件因配置错误被公开访问配置缺陷、外部扫描缺少自动配置检查和公开访问告警访问策略、运维巡检52较高降低：启用策略扫描和告警闭环低云平台负责人R-004P-004供应商远程支持临时账号未及时关闭导致越权访问账号滥用、凭据泄露临时权限到期提醒和关闭记录缺失堡垒机、工单审批43较高降低：设置自动到期和周度复核中运维经理R-005A-002工单系统系统故障导致客户服务处理中断服务中断、容量不足恢复演练不足，SLA监控不完整备份、监控、值班42中降低：季度恢复演练和容量预警低客服负责人待补充待填写待填写待填写待填写待填写待评分待评分待评级避免/降低/转移/接受待评级待填写表14风险处置方案表风险编号处置方式处置措施控制责任人资源需求计划完成日期验证方式预期残余风险状态R-001降低导出申请增加数据范围、目的、保留期限和复核人；敏感字段默认脱敏；每月抽查导出记录客户运营经理报表平台规则配置、审批模板调整2026-09-30抽查10条导出记录，核对审批和脱敏结果中进行中R-002降低上线单增加测试结果、回滚验证、影响评估和上线审批；高风险上线需业务确认研发负责人上线平台字段调整、培训2026-08-31抽查3次上线记录并复核回滚演练中未开始R-003降低启用云存储公开访问扫描，发现异常自动告警；每月导出配置核查记录云平台负责人云安全扫描服务2026-08-15检查扫描报告、告警处置记录和策略变更记录低进行中R-004降低临时账号设置到期时间，工单关闭时自动触发权限回收；周度复核未关闭账号运维经理堡垒机策略配置2026-09-15抽样供应商工单，核对账号关闭时间中未开始待补充待填写待填写待填写待填写待填写待填写待评估待填写表15残余风险接受审批表风险编号残余风险说明残余等级接受理由补充监控要求接受期限审批人复核日期复核结论R-001导出审批和脱敏控制完成后，仍存在人员误选字段的低频风险中业务需要保留受控导出能力，已通过审批、脱敏、抽查降低风险每月抽查导出记录，异常进入整改表至下次年度风险评估最高管理层授权代表2027-06-30待复核R-004供应商远程支持需保留临时账号机制，存在到期配置失效风险中已增加自动到期和周度复核，风险可在监控下接受每周输出临时账号未关闭清单6个月信息安全负责人2027-01-31待复核待补充待填写低/中/较高/高/重大待填写待填写待填写待填写待填写待填写六、控制措施适用说明与运行监控控制措施应与风险编号、制度文件、执行记录和验证证据关联。下表用于形成组织自己的控制措施适用说明，既可以支持内审，也可以为管理评审提供改进依据。表16控制措施适用性说明表控制主题控制目标是否适用适用/不适用理由对应风险编号现有制度或流程运行证据实施状态责任人信息安全方针与职责明确安全方向、责任和资源保障适用组织处理客户数据并运行关键系统，需要统一安全管理要求全部风险信息安全方针、职责分工表方针宣贯记录、职责任命记录已实施管理者代表资产管理识别资产、责任人、分级和处理规则适用风险评估以资产为基础，资产变化频繁R-001至R-005资产管理流程资产台账、月度核对记录已实施信息安全负责人访问控制确保账号授权、变更、复核和撤销受控适用客户数据、生产系统和供应商远程访问均依赖账号控制R-001、R-004账号权限管理流程审批单、权限导出、复核记录加强中IT负责人人员安全管理入职、在岗、转岗、离岗和保密要求适用员工和外包人员可能接触敏感信息R-001、R-004员工安全管理规定保密承诺、培训签到、离岗交接已实施人力资源部物理与环境安全保护机房、办公区、介质和关键设备适用灾备机房和网络设备支撑关键业务R-005机房管理规定门禁记录、巡检记录、访客登记已实施行政经理网络与系统安全降低配置、边界、恶意代码和漏洞风险适用云资源和生产系统对外提供服务R-002、R-003安全配置基线、漏洞管理流程扫描报告、修复记录、变更单加强中云平台负责人备份与恢复确保关键数据和系统可恢复适用工单系统和客户数据需要满足连续性要求R-005备份恢复管理流程备份日志、恢复测试记录已实施运维经理日志与监控记录关键活动并及时发现异常适用访问、变更、导出和供应商操作需要可追溯R-001、R-002、R-004日志审计流程日志审查记录、告警闭环加强中安全运营负责人供应商安全控制外包、云服务和远程支持风险适用组织使用云服务和供应商远程支持R-003、R-004供应商安全管理流程供应商评估、合同条款、访问记录已实施采购与IT事件响应及时报告、分级、处置和复盘安全事件适用需支持合规、客户通知和持续改进全部高风险信息安全事件响应流程事件报告、复盘记录、演练记录已实施信息安全负责人业务连续性提升关键业务中断时的恢复能力适用客户服务和生产平台存在SLA要求R-005业务连续性计划演练记录、恢复时间记录部分实施业务连续性负责人密码与密钥管理保护认证凭据、密钥和敏感配置适用生产系统和云资源存在特权账号及密钥R-003、R-004密码与密钥管理流程密钥轮换记录、访问授权记录加强中运维经理待补充待填写适用/不适用待填写待填写待填写待填写待填写待填写表17信息安全目标与绩效指标表目标编号目标内容指标口径目标值数据来源统计频率责任人异常处理OBJ-001关键系统权限定期复核按期完成权限复核的系统数量/应复核系统数量≥95%权限复核记录季度IT负责人未完成系统纳入整改表并说明原因OBJ-002高风险漏洞按期修复高风险漏洞在规定期限内关闭数量/高风险漏洞总数≥90%漏洞扫描报告、修复单月度安全运营负责人逾期漏洞评估临时缓解措施OBJ-003备份恢复验证有效恢复测试成功次数/计划测试次数100%备份恢复测试记录季度运维经理失败项立即启动原因分析OBJ-004安全事件闭环处理按期完成复盘和措施跟踪的事件数量/事件总数100%事件台账、复盘报告月度信息安全负责人重大事件提交管理评审OBJ-005员工安全培训覆盖完成培训人员数量/应参加人员数量≥98%培训签到、测验记录年度人力资源部缺席人员补训并记录待补充待填写待填写待填写待填写待填写待填写待填写表18运行证据目录与记录保存表证据编号证据名称对应控制主题形成频率保存位置保存期限责任人内审抽样提示E-001资产台账月度核对记录资产管理月度受控文档库/资产管理文件夹不少于3年或按组织要求信息安全负责人抽样核对新增云资源和责任人E-002权限审批与季度复核记录访问控制即时/季度权限管理平台导出目录不少于3年或按组织要求IT负责人核对离职、转岗、临时权限E-003备份日志与恢复测试记录备份与恢复每日/季度运维记录库不少于3年或按组织要求运维经理核对失败备份是否有处置记录E-004漏洞扫描与修复闭环记录网络与系统安全月度/按需安全运营平台不少于3年或按组织要求安全运营负责人抽样高风险漏洞修复证据E-005事件报告与复盘记录事件响应按事件形成事件管理目录不少于3年或按组织要求信息安全负责人核对分级、报告、整改和验证E-006供应商评估与远程访问记录供应商安全准入/年度/按次供应商档案库合同有效期后按组织要求保存采购与IT核对临时访问是否按期关闭待补充待填写待填写待填写待填写待填写待填写待填写七、内审方案、实施计划与检查表内审应基于风险和过程重要性安排频次。建议年度内至少覆盖一次全部管理过程，并对高风险资产、重大变更、供应商远程访问、历史不符合项和关键控制措施进行重点抽样。表19年度内审方案表年度审核范围审核准则审核频次重点领域审核组预计时间输出文件2026ISMS适用范围内全部部门、系统、云资源、供应商远程支持活动组织制度、适用标准要求、合规义务、合同安全要求年度一次全覆盖，高风险控制季度专项抽查访问控制、云配置、数据导出、备份恢复、供应商管理、整改闭环组长1名，内审员3名，必要时邀请技术专家2026年10月内审计划、检查表、记录、不符合项、内审报告待补充待填写待填写待填写待填写待填写待填写待填写表20内审实施计划表日期/时间受审部门或过程审核内容审核员受审联系人抽样对象会议安排备注10月12日09:30-11:30信息安全部方针、目标、风险评估、控制适用说明、绩效监控张三信息安全负责人风险登记表、控制措施表、指标数据首次会议后开始关注高风险处置进度10月12日13:30-15:30IT运维部账号权限、备份恢复、日志监控、漏洞修复李四运维经理堡垒机账号、备份记录、漏洞清单部门访谈抽样生产系统10月13日09:30-11:00研发中心变更上线、代码访问、测试与回滚、开发环境控制王五研发负责人上线单、代码库权限、回滚记录部门访谈抽样近期高风险上线10月13日14:00-15:30采购与供应商管理供应商准入、合同安全条款、远程支持、退出管理赵六采购经理云服务商、外包运维商档案部门访谈核对远程访问关闭记录10月14日10:00-11:00管理层访谈资源、目标、风险接受、管理评审准备审核组长最高管理层授权代表管理评审输入、重大风险清单总结会议前确认重大事项待补充待填写待填写待填写待填写待填写待填写待填写表21内审检查表：管理体系过程序号审核主题检查要点建议证据访谈问题抽样方法结果记录编号1组织环境与范围是否识别内外部因素、相关方要求并形成清晰范围范围说明、相关方要求表、合规义务台账哪些业务、地点、系统纳入范围？排除项理由是什么？抽查范围与资产清单、流程图是否一致符合/不符合/观察AR-0012领导作用管理层是否批准方针、目标、资源并参与重大风险决策方针、目标、会议纪要、资源审批管理层如何获知重大风险和绩效结果？抽查管理评审和重大残余风险审批符合/不符合/观察AR-0023风险策划是否按一致方法识别、评价和处置风险风险评价准则、风险登记表、处置计划评分口径如何统一？风险变化如何更新？抽样高风险、近期变更和历史事件相关风险符合/不符合/观察AR-0034支持与能力人员能力、培训、沟通、文件和记录是否受控培训记录、职责说明、文件清单、沟通记录新员工如何了解信息安全要求？抽样入职、转岗、离岗和关键岗位培训记录符合/不符合/观察AR-0045运行控制风险处置措施是否按计划运行并留有证据控制适用说明、运行记录、审批单、日志控制失效或例外如何处理？抽样访问、变更、备份、供应商和事件记录符合/不符合/观察AR-0056绩效评价是否监视指标、实施内审、跟踪问题并向管理层报告指标表、内审计划、内审报告、问题跟踪表哪些指标低于目标？采取了什么措施？核对指标数据来源和统计口径符合/不符合/观察AR-0067改进不符合是否完成原因分析、纠正措施和有效性验证不符合记录、整改计划、验证记录、复盘表重复问题如何预防？抽样上一轮内审和事件整改项符合/不符合/观察AR-007表22内审检查表：关键控制主题序号控制主题检查要点建议证据抽样对象常见问题结果记录编号1资产管理资产是否有责任人、分级、状态和变更记录资产台账、云资源清单、数据字典新增系统、云存储、关键数据表资产存在但未纳入台账，责任人缺失符合/不符合/观察CR-0012访问控制账号申请、变更、复核、撤销是否可追溯权限审批单、系统账号导出、离职清单特权账号、供应商账号、离职人员账号临时权限过期未关闭，审批与实际权限不一致符合/不符合/观察CR-0023变更管理变更是否评估影响、测试、审批、回滚和记录变更单、上线记录、测试报告、回滚方案近三个月高风险上线紧急变更未补审批，回滚验证缺失符合/不符合/观察CR-0034备份恢复备份策略是否执行，恢复能力是否验证备份日志、失败告警、恢复测试记录关键数据库、对象存储、配置文件只做备份未做恢复测试，失败备份未处置符合/不符合/观察CR-0045日志监控关键操作是否记录、保留、审查并处理异常日志平台记录、告警闭环、审查报告数据导出、管理员登录、配置变更日志留存不足，告警无关闭说明符合/不符合/观察CR-0056漏洞与补丁扫描、评级、修复、例外和复测是否闭环扫描报告、修复单、复测截图、例外审批互联网暴露系统、高风险漏洞逾期漏洞缺少临时缓解措施符合/不符合/观察CR-0067供应商管理供应商准入、合同、访问、绩效和退出是否受控评估表、合同条款、远程访问记录、年度评审云服务商、外包开发、运维支持访问权限未随服务结束关闭符合/不符合/观察CR-0078事件响应事件报告、分级、处置、复盘和整改是否完整事件台账、报告、复盘报告、整改验证记录近期告警、邮件钓鱼、异常登录事件事件关闭无原因分析和预防措施符合/不符合/观察CR-0089人员安全入职、在岗、转岗、离岗和外包人员安全要求是否执行保密承诺、培训记录、离岗交接、权限回收关键岗位、离职人员、外包驻场人员离岗权限回收记录不完整符合/不符合/观察CR-00910物理环境机房、办公区、介质和设备是否受控门禁、访客登记、巡检表、介质登记机房访客、存储介质、办公区打印访客陪同记录缺失，介质销毁无复核符合/不符合/观察CR-010表23内审访谈与抽样记录表记录编号受审部门/人员访谈问题或抽样事项获取证据审核发现判定审核员日期AR-001IT运维部/运维经理抽样3个供应商临时账号，核对开通审批、使用记录和关闭时间工单SUP-2026-071、堡垒机账号导出、访问日志截图其中1个账号关闭时间晚于工单关闭后7天，未见例外审批不符合李四2026-10-12AR-002研发中心/上线负责人抽样近三个月2次高风险上线，核对测试结果和回滚验证上线单REL-2026-081、REL-2026-094、测试报告上线单包含审批、测试和回滚验证，记录完整符合王五2026-10-13AR-003客服中心/客服主管询问客户数据导出审批流程并抽查2条导出记录导出申请单EX-2026-018、EX-2026-021导出目的和保留期限填写不完整，脱敏复核记录缺失观察张三2026-10-13待补充待填写待填写待填写待填写符合/不符合/观察待填写待填写八、不符合项、整改计划与验证闭环不符合项应描述事实、证据和依据，不宜写成主观评价。整改应区分立即纠正、原因分析、系统性纠正措施和预防重复发生的措施。表24不符合项与观察项记录表编号类型事实描述客观证据影响或风险责任部门严重程度要求完成日期审核员NC-001不符合供应商临时账号在工单关闭后未按流程及时关闭工单SUP-2026-071关闭日期为10月5日，账号导出显示10月12日仍可登录可能导致供应商在服务结束后继续访问生产环境IT运维部一般不符合2026-10-31李四OBS-001观察项数据导出申请中目的和保留期限填写不完整EX-2026-018、EX-2026-021字段为空或描述过于笼统可能导致导出数据使用边界不清客服中心观察2026-11-15张三NC-002不符合季度备份恢复测试未覆盖客户服务工单系统2026年第三季度恢复测试记录仅覆盖数据库，未覆盖应用和附件存储关键服务恢复能力无法充分证明IT运维部一般不符合2026-11-10王五待补充符合/不符合/观察待填写待填写待填写待填写待评级待填写待填写表25原因分析与整改计划表问题编号直接纠正根本原因分析纠正措施预防措施责任人计划完成日期所需资源状态NC-001立即禁用逾期供应商账号并补充关闭记录账号关闭依赖人工检查，工单关闭未自动触发权限回收提醒配置临时账号到期时间；工单关闭时自动生成权限回收任务；每周导出未关闭清单将供应商账号纳入季度权限复核，并在供应商退出流程中增加复核步骤运维经理2026-10-31堡垒机策略配置、工单系统字段调整进行中OBS-001补全已抽样导出申请目的和保留期限申请模板字段提示不足，审批人未要求补充修改导出申请模板，关键字段设为必填；审批人检查填写完整性每月抽查导出申请并在部门会议通报客服主管2026-11-15报表平台表单配置未开始NC-002补做工单系统应用和附件存储恢复测试恢复测试计划未按业务系统完整链路设计修订恢复测试计划，按数据库、应用、附件、配置、账号依赖进行完整验证将恢复测试结果纳入季度绩效指标运维经理2026-11-10测试环境、业务验证人员未开始待补充待填写待填写待填写待填写待填写待填写待填写待填写表26整改有效性验证表问题编号验证日期验证证据验证方法验证结论是否关闭遗留风险验证人NC-0012026-11-05堡垒机临时账号策略截图、工单系统回收任务截图、周度未关闭账号清单重新抽样5个供应商工单，核对账号到期时间和关闭记录抽样均按时关闭，自动提醒已生效是仍需观察两个月周度清单是否稳定为零内审组长OBS-0012026-11-20导出申请新模板、审批记录、部门会议纪要抽样3条导出申请，核对目的、范围、保留期限和脱敏复核字段填写完整，审批意见可追溯是保留月度抽查要求张三NC-0022026-11-18恢复测试计划、测试记录、业务验证签字、失败项处置记录复核完整链路恢复测试结果并访谈业务验证人员恢复测试覆盖应用、数据库和附件存储，结果满足预设目标是后续纳入季度计划王五待补充待填写待填写文件复核/现场验证/访谈/重新抽样待填写是/否待填写待填写表27问题趋势与重复发生分析表分析周期问题类别本期数量上期数量变化情况重复发生原因改进措施提交管理评审事项2026年第四季度访问控制32上升临时权限依赖人工关闭，系统提醒不足自动到期、周度复核、季度抽样需要批准工单系统自动回收改造资源2026年第四季度备份恢复11持平测试计划覆盖不完整按业务链路重设恢复测试脚本建议设定季度恢复演练指标2026年第四季度数据导出20新增模板字段不完整，审批人要求不一致改表单、设必填、月度抽查建议纳入部门KPI待补充待填写待填写待填写待填写待填写待填写待填写九、内审报告与管理评审表28内审报告模板报告要素填写说明示例内容审核目的说明本次审核要确认的管理体系运行效果和改进机会确认ISMS范围内风险评估、控制措施、运行证据、绩效评价和改进闭环是否有效运行审核范围说明覆盖部门、系统、地点、供应商活动和时间区间覆盖信息安全部、IT运维部、研发中心、客服中心、采购与供应商管理，抽样2026年1月至10月记录审核准则列明组织制度、适用标准要求、合规义务和合同要求组织信息安全制度、风险评价准则、内审方案、适用合规义务和客户合同安全要求审核方法访谈、文件复核、现场查看、系统抽样、记录追溯等访谈10人，抽查5个关键系统、8条权限记录、4次上线记录、3个供应商档案和3项整改记录总体结论评价体系运行是否适宜、充分、有效，并说明主要依据体系框架基本建立并运行，风险评估和控制措施有记录支撑；需加强临时权限回收、导出审批完整性和恢复测试覆盖主要符合点列出运行良好或成熟度较高的方面变更上线记录较完整，关键系统备份按计划执行，员工安全培训覆盖率达到目标主要问题汇总不符合项、观察项和潜在风险发现2项一般不符合、1项观察项，集中在供应商临时访问、恢复测试覆盖和数据导出申请完整性改进建议给出可执行的改进方向，避免泛泛而谈建设临时权限自动回收机制，修订恢复演练脚本，将数据导出抽查纳入月度控制指标后续安排说明整改期限、验证方式和提交管理评审事项所有不符合项须在2026年11月底前完成整改并验证，重大资源需求提交管理评审表29管理评审输入准备表输入主题准备内容数据来源责任人示例结论/摘要内外部因素变化业务、技术、法规、客户要求、供应商变化相关方要求表、合规义务台账、业务计划体系负责人客户安全审计要求增加，云资源数量上升，需加强证据目录和云配置核查风险与机会状态高风险、重大残余风险、风险处置进度、风险变化风险登记表、处置计划、残余风险审批信息安全负责人高风险主要集中在数据导出、供应商远程访问和云配置，处置计划总体按期推进目标和指标达成绩效指标、趋势、未达成原因信息安全目标与指标表各责任部门备份恢复验证达成100%，高风险漏洞按期关闭率为88%，低于目标内审结果符合点、不符合项、观察项、整改状态和重复问题内审报告、整改跟踪表内审组长本次发现2项一般不符合、1项观察项，需管理层支持工单系统自动回收改造安全事件与缺陷事件数量、分级、根因、处置、复盘和趋势事件台账、复盘报告安全运营负责人钓鱼邮件上报增加，员工识别能力提升；仍需完善异常登录告警闭环供应商与外包关键供应商绩效、审计结果、访问管理和退出事项供应商评估表、合同、访问记录采购与IT云服务稳定性满足要求，外包运维临时访问关闭需系统化控制资源与能力人员、预算、工具、培训、技术能力缺口预算计划、培训记录、岗位能力评价管理者代表需要配置云配置扫描和工单自动回收开发资源改进机会制度、流程、工具、监控、自动化和文化建设问题趋势分析、员工反馈、内审建议体系负责人建议建设统一证据目录和风险台账看板表30管理评审会议记录表项目填写内容示例记录会议时间与地点填写日期、地点、会议形式2026年12月5日，上海总部会议室及线上会议参加人员列明最高管理层、体系负责人、业务负责人、IT、法务、人力、采购等总经理、管理者代表、信息安全负责人、IT负责人、研发负责人、客服负责人、法务合规经理、采购经理评审输入摘要概述风险、目标、内审、事件、供应商和资源状态本年度体系运行基本有效，但高风险漏洞按期关闭率低于目标，临时权限回收需工具支持讨论事项记录关键争议、资源评估、优先级和决策依据管理层同意将临时权限自动回收和云配置扫描作为下季度重点建设事项评审结论判断体系适宜性、充分性和有效性现有ISMS适用于当前业务范围，整体运行有效；在自动化控制和证据完整性方面需持续改进决议事项列明需执行的行动、责任人和期限批准工单系统自动回收功能改造；批准云配置扫描服务试点；修订数据导出审批流程遗留事项无法立即解决或需进一步评估事项是否引入数据防泄漏工具，待完成成本收益评估后再决策记录与批准记录人、审核人、批准人记录人：体系专员；审核人：管理者代表；批准人：总经理表31管理评审输出行动计划表行动编号决议事项责任人资源/预算完成期限衡量指标进展状态关闭证据MR-001建设供应商临时权限自动回收功能IT负责人工单系统开发资源2027-03-31供应商临时账号逾期关闭数量为0已立项需求单、测试记录、上线记录、抽样复核MR-002试点云配置自动扫描和告警闭环云平台负责人云安全扫描服务预算2027-02-28高风险配置项发现后7日内关闭率≥95%进行中扫描报告、告警处置记录MR-003修订数据导出审批流程并开展培训客服负责人流程修订和培训时间2027-01-31抽样导出申请完整率≥98%未开始流程文件、培训记录、抽样结果MR-004完善恢复测试脚本并覆盖关键业务链路运维经理测试环境和业务验证人员2027-03-31季度恢复测试成功率100%未开始演练脚本、测试记录、业务确认待补充待填写待填写待填写待填写待填写待填写待填写十、附录：专项记录模板表32安全事件与缺陷汇总表编号事件/缺陷名称发现来源发生时间等级影响资产处置状态根因摘要整改关联管理评审关注INC-001疑似钓鱼邮件集中上报员工上报、邮件网关告警2026-09-18中员工邮箱、办公终端已关闭攻击邮件绕过部分规则，员工识别后及时上报加强邮件网关规则和培训案例关注员工培训有效性INC-002生产数据库异常登录告警日志平台2026-10-03高生产数据库已关闭运维人员临时加班未在工单备注说明，告警处置记录不完整规范紧急运维备注和告警关闭说明关注日志告警闭环质量DEF-001云对象存储策略存在公开访问风险云配置核查2026-10-20高备份存储桶已缓解新建存储桶未套用基线模板纳入云配置扫描和基线自动检查关注云配置自动化控制待补充待填写待填写待填写低/中/高/重大待填写待填写待填写待填写待填写表33供应商与外包安全审查摘要表供应商名称服务内容信息接触情况准入评估结果合同安全要求远程访问控制年度评审结论改进事项某云服务商云主机、对象存储、监控服务托管备份文件和日志归档，不直接处理明文客户数据通过，需持续关注配置责任边界保密、服务可用性、事件通知、数据删除协助管理控制台MFA，最小权限，日志留存服务稳定，需加强配置扫描试点