奔烁热线：152-2175-9315
首页 > ISO27001认证 > ISO27001认证体系内部审核与外部审核区别ISO27001认证体系内部审核与外部审核区别
文章来源：华道众合 添加时间：2021-1-18
一、ISO27001认证内部审核
ISO27001认证的内部审核是这样的：由企业或组织内部人员有计划地、按照既定的时间间隔定期地（一般每年至少1次），对其信息安全管理体系符合性的自我评估和检查。在这个审核中，要确保整个体系符合ISO/IEC 27001：2013标准和相关法律法规的要求，要符合已确定的信息安全的要求，确保体系得到有效的实施和保持。
在审核初期，一定要制定信息安全方针，发布并传达给全体员工和外部相关方。如在积极预防、全面管理、控制风险、保障安全方面要定好目标。
信息安全目标的制定
使已识别的信息资产满足信息安全的各项要求，包括法律法规、客户与相关方和组织业务要求。具体目标包括：
1、信息泄露事件为零
2、引起组织主要业务中断时间累计不能超过2h/年
3、引起组织主要业务中断事件发生次数小于1次/年
4、严重影响网络与信息系统可用性的事件小于1次/年
5、信息安全事件发生时，以损失最小化、恢复时间最短化、避免再次发生为目标。
内部审核要求
1、公司建立并实施《内部审核程序》，明确审核的目的、体制、程序等内容，确保公司ISMS的符合性和有效性，符合已识别的信息安全要求；
2、审核组长负责监督内部审核的进行，并将审核情况报告信息安全负责人；
3、公司按计划的时间间隔（不超过1年）组织内部审核；审核计划的安排应考虑部门的重要性及以往的执行情况；
4、应安排具备审核员资格的人员进行审核，审核员不应审核自己部门的工作，以确保审核的公正性和客观性；
5、受审核部门应采取适当的措施，以消除发现的不符合项；
6、审核员应对所采取措施的情况进行跟踪验证，确保不符合项的结案；
7、有关审核的所有记录应由信息安全战略推进组进行保存
二、ISO27001认证外部审核
为迎接ISO27001认证外部审核，企业需要准备风险评估相关材料、体系运作相关材料、内部审核相关材料、管理评审相关材料、各类体系文件制度等资料，以备查验。
ISO27001认证审核的关注点
1、信息安全方针制定情况
2、控制措施选用情况
3、体系运作情况
4、各方面策略的指定情况
5、文件体系的符合情况
外部审核
1、外部审核也叫外审，可分为一审和二审，外审的时候认证机构会联系负责人并约定好检查时间到现场检查。
2、外审主要是审核制度体系文件是否满足标准，公司有没按照体系制度的要求去执行，是否有运行记录的产出，公司的总体情况以及看一下公司的办公环境。针对信息安全部进行的，以了解情况为主，一般来说有问题可以当场整改。
3、一般一审只需要一天，审核人员为：审核组长。审核完成会出一份审核结果。如果不通过一般都在一审不通过，不需要二审了。
4、二审需要的时间会较长，具体的时间和费用会根据所申报的规模和人数去判定。
ISO27001认证的内部审核是这样的：由企业或组织内部人员有计划地、按照既定的时间间隔定期地（一般每年至少1次），对其信息安全管理体系符合性的自我评估和检查。在这个审核中，要确保整个体系符合ISO/IEC 27001：2013标准和相关法律法规的要求，要符合已确定的信息安全的要求，确保体系得到有效的实施和保持。
在审核初期，一定要制定信息安全方针，发布并传达给全体员工和外部相关方。如在积极预防、全面管理、控制风险、保障安全方面要定好目标。
信息安全目标的制定
使已识别的信息资产满足信息安全的各项要求，包括法律法规、客户与相关方和组织业务要求。具体目标包括：
1、信息泄露事件为零
2、引起组织主要业务中断时间累计不能超过2h/年
3、引起组织主要业务中断事件发生次数小于1次/年
4、严重影响网络与信息系统可用性的事件小于1次/年
5、信息安全事件发生时，以损失最小化、恢复时间最短化、避免再次发生为目标。
内部审核要求
1、公司建立并实施《内部审核程序》，明确审核的目的、体制、程序等内容，确保公司ISMS的符合性和有效性，符合已识别的信息安全要求；
2、审核组长负责监督内部审核的进行，并将审核情况报告信息安全负责人；
3、公司按计划的时间间隔（不超过1年）组织内部审核；审核计划的安排应考虑部门的重要性及以往的执行情况；
4、应安排具备审核员资格的人员进行审核，审核员不应审核自己部门的工作，以确保审核的公正性和客观性；
5、受审核部门应采取适当的措施，以消除发现的不符合项；
6、审核员应对所采取措施的情况进行跟踪验证，确保不符合项的结案；
7、有关审核的所有记录应由信息安全战略推进组进行保存
二、ISO27001认证外部审核
为迎接ISO27001认证外部审核，企业需要准备风险评估相关材料、体系运作相关材料、内部审核相关材料、管理评审相关材料、各类体系文件制度等资料，以备查验。
ISO27001认证审核的关注点
1、信息安全方针制定情况
2、控制措施选用情况
3、体系运作情况
4、各方面策略的指定情况
5、文件体系的符合情况
外部审核
1、外部审核也叫外审，可分为一审和二审，外审的时候认证机构会联系负责人并约定好检查时间到现场检查。
2、外审主要是审核制度体系文件是否满足标准，公司有没按照体系制度的要求去执行，是否有运行记录的产出，公司的总体情况以及看一下公司的办公环境。针对信息安全部进行的，以了解情况为主，一般来说有问题可以当场整改。
3、一般一审只需要一天，审核人员为：审核组长。审核完成会出一份审核结果。如果不通过一般都在一审不通过，不需要二审了。
4、二审需要的时间会较长，具体的时间和费用会根据所申报的规模和人数去判定。
您可能还想看