CNAS-CC17-2009 信息安全管理体系认证机构要求

页页 3 4 5 5 5 5 6 6 6 6 6 6 6 6 6 7 8 8 8 8 8 8 9 9 9 9 9 9 A.1组织的潜在风险 D.2.1“组织类控制措施”列与“技术 本文件等同采用国际标准ISO/IEC27006:2007《信息技术安全技术信息安全管理认可准则CNAS-CC01:2007《管理体系认证机构要求》其共同构成CNAS对信息安全管理体系认证机构1)针对认证机构的管理时，用词汇“程序”表示CNAS-CC01:2007(等同采用GB/T27021－2007/ISO/IEC17021:2006)是CNAS针对各类管理体系认证机构的基本认可准则。如果管理体系认证机构按照GB/T22080-2008《动，并打算依据CNAS-CC01:2007获得认可，对CNAS-CC01:2007补充一些要求和指南是必要的。本文贯穿本文件全文，使用“应”（shall）这一术语，以表示本文件中与CNAS-CC01:2007和GB/T22080-2008的要求相对应的条款是要求性的，认证机构必须遵循；使用“宜”（should）这一术语，以本文件的一个目的是确保以一致的方式按照相关准则或标准对信息安全管理体系认证机构实施评只有当认证机构向CNAS证实那些例外以等效的方式满足CNAS-CC01:2007和GB/T22080-2008的相关作为对CNAS-CC01:2007和GB/T22080-2008要求的补充。制定本文件的主要意图是对实施ISMS认证的认CNAS-CC01:2007管理体系认证机构要求（等同采用GB/T27021－2GB/T22080-2008信息技术安全技术信息安全管理体系要求（ISO/IEC7.2.1.1.1当为特定认证审核选择指派审核组时，认证机构应确保审认证机构应要求客户组织具有一个文件化并且已实施的符合GB/T2）；），）；页页）；a）在以下每个方面，至少应有一名审核组成员满足认证机构能力准则并在审核组内承担相应责认证机构应让客户组织意识到在第二阶段的审核中，可能需要进一步提供9.2.3.2.1第二阶段审核在客户组织的场所进行。认证机构以第一阶段的审核报告中的形成文件的审核发为给认证决定提供依据，认证机构应要求审核组向其提供认证机构应具有规定了保持认证的环境和条件的清楚程序。如果在监督或再认证审核中，发现不符合存在，该不符合在认证机构同意的时间内应得到有效地纠正。如果纠正没有在同意的时间内完成，认证范围应被缩小，或者暂停或撤销认证证书。允许采取纠正措施的时间宜与不符合的严重程度和风险相适宜，如果已经通过ISMS认证的客户组织对其管理体系做重大修改，或者发生影响其认证基础的其他变认证机构应要求，每个ISMS获证客户组织在被要求时，根据GB/T22080-2008要求高中低雇员+签约l销售/物流/一般服务相关l信息技术/信息服务和有关l与建筑/造船/设备工程有l政府、学校、医学/医院系统1l物理与环境安全（GB/Tl物理与环境安全（GB/Tl通信与操作管理（GB/T工作站+PC+便携式计算A.12）险l任何其他商业敏感/关键信息，例如，研发信息、设计信息、客户组织详细信息、财务结果l政府的供应商和生产商持有的信息，例如，信息通信技术（ICT）设计、设施、产品、服务等方式可以用来证实需要的知识和经验。宜确定审核组所需的能力级别，使其与人力资源部门所使用的过程与规程的通用知识和经验件和（或）过程控制、纠正和（或）预防措施、信息系统、IT系统、网络等，而无论他们是）；页页ISMS范围的因素的重要性对该基数进行调整，对每一因素赋予增、减权重以修正基数。该表用到的术2353746567889>10700如果使用了远程审核技术（例如，交互式基于网络的协作、网络会议、电话会议和/或组织过择的所有控制措施的实施需要在初次认证审核的第二阶段审核以及监督审核或再认证审核活动中进行D.2.1“组织类控制措施”列与“技术A.6.1.4信息处理设施的授权过程从文件的复印件中抽样A.6.2.1与外部各方相关风险的A.6.2.2