ISO 27001 与等保 2.0 内部审核一体化检查表（2026 版）

ISO27001与等保2.0内部审核一体化检查表（2026版）前言2026年ISO27001:2022（GB/T22080-2025）新版标准全面落地，旧版体系彻底失效，同时等保2.0测评进入精细化实效核查阶段，传统分开内审、重复核查、标准割裂的模式，极易导致体系审核遗漏、等保测评失分、合规整改冗余等问题。为实现双标合规一体化落地，统一内审标准、精简内审流程、规避重复工作，特编制本一体化内部审核检查表。本检查表打破传统表格罗列形式，采用纯文字章节化落地架构，深度融合ISO27001:2022新版93项控制措施与等保2.0全维度测评要求，区分双标通用核查项、ISO27001专属核查项、等保2.0专属核查项，覆盖安全治理、人员、物理、网络、主机、应用、数据、密码、应急、供应链、持续改进全场景。可直接用于企业年度ISO转版内审、等保自测内审、合规风险自查、外部审核前置预检，实现一次内审、双标覆盖、问题统一闭环，完全适配2026年强监管与体系认证审核要求。第一章总则1.1编制目的统一ISO27001新版体系与等保2.0内部审核标准、核查维度、判定规则，解决双标内审标准冲突、核查内容重复、风险判定不一致、整改台账割裂的行业痛点。规范一体化内审实施流程、核查要点、问题分级、闭环要求，帮助内审人员精准识别双标合规缺陷、潜在风险与落地漏洞，保障信息安全管理体系有效运行、等保合规底线全面达标，为外部认证审核、监管测评、专项检查筑牢内部合规基础。1.2适用范围本检查表适用于各行业企事业单位ISO27001:2022新版体系内部审核、转版预审核、年度监督审核自查，同时适配等保二级、三级、四级信息系统年度自测内审、整改复盘、复测预检工作。覆盖企业所有信息化资产、业务系统、运维流程、管理制度、人员操作、第三方合作全场景，适配金融、政务、互联网、科创、能源等全类型主体，可作为内审人员标准化作业指导文件。1.3核心审核依据国际与国标依据：ISO/IEC27001:2022信息安全管理体系要求、GB/T22080-2025《网络安全技术信息安全管理体系要求》、ISO/IEC27002:2022安全控制实践指南。等保合规依据：GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》、2026年等保测评最新增补细则。法律法规依据：《网络安全法》《数据安全法》《个人信息保护法》《商用密码管理条例》及行业专项监管规范。1.4一体化内审核心原则一是标准融合、一查两用原则，整合双标重叠核查内容，一次核查同步覆盖ISO体系有效性与等保合规性，杜绝重复内审；二是就高从严、统一判定原则，双标核查标准存在差异时，按照最严苛要求判定合规与否，规避标准冲突漏洞；三是实效优先、杜绝形式原则，重点核查制度落地实操性、运维记录真实性、防护措施有效性，不唯台账、不唯文件；四是风险闭环、持续改进原则，所有内审发现问题统一分级、统一整改、统一复盘，同步适配双标持续合规要求。1.5内审基本要求内审工作需由独立于被审核部门的合规人员或第三方人员开展，保障审核客观性、公正性；审核范围需全覆盖管理制度、技术防护、运维实操、台账记录、人员履职、第三方管控，无盲区、无遗漏；审核方式采用资料查阅、现场核查、人员访谈、设备复测、日志溯源相结合的方式，全面核验合规落地情况；审核周期为每年至少一次全覆盖内审，重大系统迭代、新规更新、安全事件发生后需开展专项追加内审。第二章双标一体化内审核查总览本次一体化内审按照“通用项统一核查、差异化项专项核查”的逻辑划分所有核查内容。双标通用核查项为ISO27001与等保2.0共同要求的合规内容，统一核查、统一判定、统一整改；ISO27001专属核查项聚焦新版体系治理、风险管控、持续改进、新增控制措施等体系化要求；等保2.0专属核查项聚焦国家强制技术底线、定级备案、监管适配、刚性测评扣分点。所有核查结果统一纳入内审报告，实现双标问题同步闭环。第三章全维度一体化内审详细核查内容3.1安全治理体系核查（管理类核心）3.1.1双标通用核查要点核查企业是否建立正式的信息安全治理组织架构，明确管理层、合规部门、业务部门、运维部门的安全职责，落实全员安全责任制；核查是否制定适配业务发展的信息安全方针与总体合规策略，方针文件是否经管理层审批、全员宣贯；核查安全管理制度、操作流程、作业表单是否完整规范，覆盖全合规场景，制度是否定期迭代更新；核查合规培训、安全宣贯、考核问责机制是否有效运行，留存完整的培训记录、考核台账、问责记录；核查安全工作例会、合规复盘机制是否常态化开展，定期梳理合规风险与优化方向。3.1.2ISO27001专属核查要点重点核查新版体系顶层治理落地情况，包括企业内外部环境分析是否定期开展、精准识别企业合规痛点与风险环境；相关方诉求识别是否全面，是否针对客户、监管、合作方、员工的安全诉求制定对应管控措施；安全风险与机遇识别机制是否建立，是否结合业务场景识别合规风险与优化机遇；体系内审、管理评审是否按周期开展，评审内容是否覆盖体系适宜性、充分性、有效性；新版93项控制措施的适用性声明（SoA）是否完整更新，风险评估与风险处置计划是否贴合新版标准，无旧版冗余内容；威胁情报管理、体系持续迭代、新型场景安全管控等新版专属要求是否落地执行。3.1.3等保2.0专属核查要点核查信息系统定级备案工作是否合规完成，定级报告、备案证明真实有效，系统业务、架构变更后是否及时完成定级变更报备；核查等保年度测评、自查整改工作是否常态化开展，历年测评报告、整改台账完整留存；核查网络安全负责人备案、监管信息报送是否按时完成，适配属地监管要求；核查安全管理制度是否严格对标等保六大维度测评要求，无制度缺失、条款不符问题；核查重大安全风险、安全事件是否按要求及时上报监管部门，报备流程规范完整。3.2人员安全与权限管控核查3.2.1双标通用核查要点核查人员全生命周期安全管理是否闭环，入职背景核查、安全培训、保密协议签订、权限赋权流程是否规范；在岗人员实行最小权限、分权制衡原则，无超级权限、多人共用账号、权限滥用问题；系统权限定期复核、清理、调整，留存完整的权限复核台账；离岗、离职人员权限即时回收、设备归还、保密责任延续落实到位；外包、驻场、第三方人员准入审批、权限管控、操作审计、退场清算机制有效运行，无第三方违规操作风险。3.2.2ISO27001专属核查要点核查人员安全风险评估机制是否建立，针对核心岗位、涉密岗位、运维岗位开展专项人员风险排查；核查岗位轮岗、强制休假、岗位制衡机制是否常态化执行，重点规避单人全权管控风险；核查人员安全意识培训分层落地，针对管理层、技术岗、业务岗、外包岗制定差异化培训内容，培训效果可考核、可追溯；核查人员违规行为处置流程规范，发现违规问题及时整改、复盘、教育，纳入持续改进体系。3.2.3等保2.0专属核查要点核查核心岗位双人双岗、轮岗备份机制落实情况，关键运维、审核、操作岗位无单人单点风险；核查账号身份唯一、实名绑定，无匿名账号、冗余账号、过期账号；核查权限变更、账号新增、账号注销全程留痕，审计日志完整可追溯；核查安全人员资质、运维人员持证上岗情况，核心安全岗位人员配置满足等保层级要求。3.3物理环境安全核查3.3.1双标通用核查要点核查机房、数据中心、设备库房、办公涉密区域物理隔离到位，分区管控清晰；核心区域门禁、监控、防盗、防火、防水、防雷、防静电设施齐全有效，7×24小时运行；人员出入核心区域实行审批登记机制，外来人员全程陪同、信息登记完整；机房供电、温湿度、消防设施常态化巡检，设备运行环境稳定合规；废弃存储介质、涉密纸质资料、设备销毁流程规范，销毁记录完整留存。3.3.2ISO27001专属核查要点核查物理资产风险评估常态化开展，针对物理环境隐患、设备老化、环境风险定期排查整改；核查物理区域分级防护策略适配资产重要等级，核心涉密区域、密钥库房实行最高等级防护；核查物理安全事件处置流程完善，针对机房漏水、断电、入侵等突发事件有专项处置预案与复盘记录。3.3.3等保2.0专属核查要点核查机房监控录像留存时长满足对应等保层级最高要求，无录像缺失、覆盖过快问题；核查机房双路供电、UPS备用电源、灾备机房部署达标，保障业务连续性；核查密钥设备、加密设备专属库房双人双锁管理，出入登记、定期核查记录完整，适配商用密码与等保联合核查要求。3.4网络与设备安全核查3.4.1双标通用核查要点核查网络架构分区隔离规范，内外网、核心业务区、办公区、第三方接入区严格隔离，边界防护策略有效；网络边界部署防火墙、入侵防御、流量审计、APT防护等安全设备，策略配置合理，无宽松策略、无效策略；所有网络设备、服务器、终端设备定期开展漏洞扫描、补丁更新、病毒查杀、基线加固；设备全生命周期台账完整，包含设备型号、部署位置、权限配置、运维记录、报废信息；网络流量、访问行为全程审计，异常流量、非法访问可实时监测、告警、处置。3.4.2ISO27001专属核查要点核查网络设备风险评估定期开展，结合业务迭代、网络架构调整动态优化防护策略；核查云服务、远程接入、智能设备等新型网络场景安全管控落地，适配新版ISO云安全、自动化系统安全控制要求；核查网络运维流程标准化，变更审批、策略调整、设备操作全程留痕，纳入体系闭环管理；核查威胁情报对接机制有效，定期研判新型网络威胁，优化网络防护策略。3.4.3等保2.0专属核查要点核查网络边界非法外联、非法接入管控到位，无违规端口开放、多余路由、闲置服务；核查设备安全基线固化，关闭高危端口、无效服务，弱口令问题清零；核查网络攻击防护策略有效，针对渗透攻击、暴力破解、SQL注入等攻击行为可精准拦截；核查网络日志留存时长、审计精度达标，满足等保溯源追责要求。3.5应用系统安全核查3.5.1双标通用核查要点核查自研、外购、云部署业务系统上线前均完成安全测试、漏洞整改、合规评估；系统具备身份认证、访问控制、操作审计、异常告警、容错回滚功能；系统迭代更新、版本升级、功能变更均经过合规审核与安全复测；系统操作遵循最小权限原则，核心操作需多级校验、全程留痕；定期开展应用系统漏洞排查与加固，无高危、中危漏洞长期遗留问题。3.5.2ISO27001专属核查要点核查应用系统全生命周期风险管理机制完善，从需求、开发、测试、上线、运维、下线全流程落实安全管控；核查AI系统、自动化运维系统、智能业务系统算法安全评估常态化开展，规避算法漏洞、智能风控失效风险；核查系统供应商安全管控到位，第三方开发、运维团队合规履约，无开发后门、运维越权风险；核查应用安全问题复盘机制有效，漏洞整改后完成复盘优化，杜绝同类问题重复发生。3.5.3等保2.0专属核查要点核查系统多因素认证全覆盖，核心业务系统、运维系统杜绝单一密码认证；核查系统防篡改、防越权、防重放攻击机制有效，业务操作安全可控；核查移动应用、对外服务端口合规加固，无逆向调试、恶意篡改风险；核查系统异常操作告警、阻断机制灵敏，可及时处置批量访问、异常交易、违规操作行为。3.6数据安全与个人信息保护核查（核心重点）3.6.1双标通用核查要点核查企业完成全量数据资产梳理与分类分级工作，明确普通数据、重要数据、核心数据清单，分级防护策略落地；数据采集严格遵循最小必要、明示授权原则，无超范围、超时效采集行为；数据存储、传输全程加密，敏感数据落实脱敏、匿名化管控；数据共享、对外提供、跨境传输执行多级审批与安全评估；数据销毁流程规范，彻底清零无残留，全流程操作留痕、台账完整。3.6.2ISO27001专属核查要点核查数据安全风险动态评估机制，结合业务场景迭代更新数据风险清单与防护策略；核查数据全生命周期管控流程适配新版ISO数据精细化防护要求，补齐数据溯源、数据权限动态调整、数据泄露预警机制；核查隐私保护管理制度完善，贴合最新合规要求，定期开展个人信息保护专项自查与优化。3.6.3等保2.0专属核查要点核查核心数据、重要数据差异化防护措施落地，存储加密、传输加密、访问审计全覆盖；核查数据备份机制有效，定期完成全量备份与备份恢复测试，RPO、RTO达标；核查日志留存满足最高标准，核心数据操作、权限变更、交易日志长期留存，适配监管溯源要求；核查个人信息合规删除、更正、注销机制完善，响应用户权益诉求及时规范。3.7商用密码应用安全核查3.7.1双标通用核查要点核查关键系统、核心数据场景全面适配商用密码算法，停用不安全通用加密算法；密钥全生命周期管理流程规范，生成、分发、存储、使用、备份、销毁全程可控、双人管控、留痕完整；密码设备、加密设施常态化巡检、维护，无配置漏洞、设备故障问题；定期开展密码应用自查与整改，留存完整自查台账与整改记录。3.7.2ISO27001专属核查要点核查密码安全风险纳入整体信息安全风险管理体系，定期开展密码应用风险评估；核查密码管理制度融入一体化合规体系，适配新版技术安全控制要求，实现密码安全长效管控与持续改进。3.7.3等保2.0专属核查要点核查身份认证、数据传输、数据存储、交易校验全环节国密改造全覆盖，满足等保商密强制要求；核查商用密码应用安全性评估常态化开展，针对测评问题闭环整改，适配2026年商密强监管核查要求。3.8应急响应与灾备连续性核查3.8.1双标通用核查要点核查网络攻击、数据泄露、系统宕机、自然灾害、交易异常等专项应急预案完整，组织架构、处置流程、上报机制、责任分工清晰；应急物资、应急设备、应急人员储备充足，可快速启动应急处置；常态化开展应急演练，覆盖通用场景与专项风险场景，演练记录、复盘报告、整改方案完整；核心业务落实灾备建设，定期开展备份恢复测试，保障业务连续性。3.8.2ISO27001专属核查要点核查业务连续性管理体系完善，结合风险评估结果优化灾备与应急策略；核查应急事件复盘机制有效，针对演练问题、真实安全事件持续优化预案与处置流程，纳入体系持续改进闭环；核查应急能力定期评估，持续提升团队应急处置水平。3.8.3等保2.0专属核查要点核查灾备建设等级适配系统等保层级，核心系统实现异地备份或双活容灾；核查应急上报流程符合监管要求，重大安全事件按时上报、处置闭环；核查应急演练频次、覆盖范围达标，满足等保测评硬性指标。3.9供应链与第三方安全核查3.9.1双标通用核查要点核查第三方供应商准入审核机制规范，开展资质核查、安全评估、背景核验，签订安全保密协议与合规责任书；合作期间第三方权限最小化管控，操作全程审计，定期开展供应商合规核查；第三方退场时权限清零、数据清理、设备归还，退场清算流程闭环；建立供应商合规评级机制，动态管控第三方合规风险。3.9.2ISO27001专属核查要点核查供应链风险分级管控体系落地，根据供应商接触资产等级划分风险等级，实行差异化管控；核查重大第三方风险预警与处置机制完善，针对供应链安全事件可快速响应、止损；核查供应商合规档案动态更新，适配新版ISO供应链安全管控新增要求。3.9.3等保2.0专属核查要点核查核心系统服务商、外包运维服务商白名单准入，杜绝高风险第三方合作；核查第三方接入网络、操作系统的安全管控到位，无第三方引入的高危漏洞、非法访问风险。3.10体系持续改进与内审闭环核查3.10.1双标通用核查要点核查合规自查、问题整改、复测验收、复盘优化闭环机制有效运行；所有合规问题分级处置、限时整改、全程留痕，无长期未闭环风险；结合业务迭代、新规更新、审核问题动态优化制度与防护策略。3.10.2ISO27001专属核查要点核查体系监测、测量、分析与评价工作常态化开展，定期评估体系运行有效性；年度管理评审覆盖全面，精准定位体系短板、优化改进方向；内审发现的不符合项分类处置，纠正措施、预防措施落地到位，实现PDCA持续循环改进；新版新增控制措施全面落地，无体系适配空白。3.10.3等保2.0专属核查要点核查历年等保测评问题、监管检查问题全部闭环整改，无重复失分、遗留风险；针对等保新规、测评细则迭代，提前完成策略适配与整改优化，保障年度测评持续达标。第四章内审问题分级判定标准（双标统一）为统一双标内审判定口径，规避审核标准混乱问题，本手册将内审发现问题统一划分为严重不符合项、一般不符合项、轻微瑕疵项三个等级，适配ISO认证审核与等保测评扣分规则。严重不符合项：指违反双标强制性、底线性要求，导致体系运行失效、存在重大安全隐患、可能引发监管处罚、数据泄露、系统瘫痪、资金损失的问题。包含核心制度缺失、高危漏洞长期未整改、权限完全失控、核心数据未加密、商密应用严重不合规、日志大量缺失、重大风险隐瞒不报、体系内审与管理评审未开展等情况，对应ISO严重不符合、等保高危扣分点。一般不符合项：指部分合规要求未落地、制度执行不到位、台账记录不完善、防护措施存在短板，但未造成实质性安全风险，可通过整改快速修复的问题。包含培训频次不足、演练记录不完整、权限复核台账缺失、部分中低危漏洞未及时整改、制度细节不完善等情况，对应ISO一般不符合、等保中危扣分点。轻微瑕疵项：指合规落地细节存在小幅偏差，不影响体系整体有效性与等保基本合规状态，无需专项整改，可通过日常优化完善的问题。包含台账格式不规范、培训资料细节缺失、制度表述小幅滞后等情况，无实质性合规风险。第五章一体化内审整改闭环流程第一步，问题汇总建档。内审结束后统一汇总所有双标核查问题，按照问题等级、所属体系、责任部门、风险类型建立一体化问题台账，明确问题描述、违规依据、风险影响、整改时限。第二步，制定整改方案。责任部门针对问题制定专项整改方案，明确整改措施、责任人、完成时间、验证标准，严重不符合项需上报管理层审核备案，杜绝敷衍整改。第三步，落地整改实施。严格按照整改方案完成制度优化、技术加固、台账补充、人员培训等整改工作，全程留存整改过程