信息安全管理体系 (ISMS) 审计专家，用于 ISO 27001 合规性验证、安全控制评估和认证支持。当用户提到 ISO 27001、ISMS 审计、附录 A 控制、适用性声明 (SOA)、差距分析、不符合项管理、内部审计、监督审核或安全认证准备时使用。帮助审查控制措施实施证据、记录审计发现、将不符合项分类、生成基于风险的审计计划、将控制映射到附录 A 要求、准备第一阶段和第二阶段审计文档，并支持纠正措施工作流。
| 风险等级 | 审计频率 | 示例 |
|---|---|---|
| 关键 (Critical) | 每季度 | 特权访问、漏洞管理、日志记录 |
| 高 (High) | 每半年 | 访问控制、事件响应、加密 |
| 中 (Medium) | 每年 | 策略、意识培训、物理安全 |
| 低 (Low) | 每年 | 文档、资产清单 |
首次会议 (Opening Meeting)
证据收集
控制验证
末次会议 (Closing Meeting)
验证： 范围内所有控制项均已评估并记录证据
有关按附录 A 控制项分类的详细技术验证程序，请参阅 security-control-testing.md。
| 严重程度 | 定义 | 响应时间 |
|---|---|---|
| 重大不符合项 (Major Nonconformity) | 控制失效并产生重大风险 | 30 天 |
| 轻微不符合项 (Minor Nonconformity) | 影响有限的孤立偏差 | 90 天 |
| 观察项 (Observation) | 改进机会 | 下一个审计周期 |
发现项 ID: ISMS-[YEAR]-[NUMBER]
控制引用: A.X.X - [控制名称]
严重程度: [重大/轻微/观察项]
证据:
- [观察到的具体证据]
- [查阅的记录]
- [访谈陈述]
风险影响:
- [如果不解决可能产生的后果]
根本原因:
- [不符合项发生的原因]
建议:
- [具体的纠正措施步骤]
确保文档齐全：
验证运营就绪状态：
| 时间段 | 重点 |
|---|---|
| 第 1 年，第 2 季度 | 高风险控制措施，第二阶段发现问题跟进 |
| 第 1 年，第 4 季度 | 持续改进，控制样本 |
| 第 2 年，第 2 季度 | 全面监督 |
| 第 2 年，第 4 季度 | 再认证准备 |
验证： 监督审核中无重大不符合项。
| 脚本 | 用途 | 用法 |
|---|---|---|
isms_audit_scheduler.py | 生成基于风险的审核计划 | python scripts/isms_audit_scheduler.py --year 2025 --format markdown |
# 生成年度审核计划
python scripts/isms_audit_scheduler.py --year 2025 --output audit_plan.json
# 使用自定义控制风险评级
python scripts/isms_audit_scheduler.py --controls controls.csv --format markdown
| 文件 | 内容 |
|---|---|
| iso27001-audit-methodology.md | 审核程序结构、预审核阶段、认证支持 |
| security-control-testing.md | ISO 27002 控制措施的技术验证程序 |
| cloud-security-audit.md | 云服务商评估、配置安全、IAM 审查 |
| KPI | 目标 | 评估方式 |
|---|---|---|
| 审核计划完成率 | 100% | 已完成审核数对比计划审核数 |
| 发现项关闭率 | 在 SLA 内 >90% | 按时关闭数对比总数 |
| 重大不符合项 | 认证时为 0 | 每个认证周期的计数 |
| 审核有效性 | 预防的事件 | 已实施的安全改进 |