Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 27007:2020 — ISMS 审核指南
信息安全管理体系审核指南，补充 ISO 19011
ISO/IEC 27007:2020 提供了审核信息安全管理体系（ISMS）的指南，以信息安全特定的考虑因素补充了 ISO 19011 的通用审核指南。该标准主要适用于进行 ISMS 审核的内部和外部审核员，以及审核计划管理人员和需要评价自身或供应商 ISMS 的组织。该标准涵盖了完整的审核生命周期：审核计划管理、审核原则、审核员能力标准以及关于实施审核活动的详细指南。ISO 19011 教授管理体系审核的一般纪律，而 ISO/IEC 27007 将这些原则转化为信息安全的特定语言、风险和做法。
ISO 19011 教您”如何审核管理体系”，而 ISO/IEC 27007 教您”如何专门审核 ISMS”。它将通用的审核概念转化为信息安全的语言和背景，涉及审计技术控制、评估安全意识和评价事件响应能力等主题。
1. ISMS 审核计划管理
该标准强调审核 ISMS 需要在审核计划制定中采用基于风险的方法。并非所有控制项、流程和部门在每个审核周期都需要相同程度的审查。审核计划应是动态的，适应组织风险状况、运营环境和安全成熟度的变化。影响审核计划的关键因素包括：
| 因素 | 对审核计划的影响 | 示例考虑 |
|---|---|---|
| 风险评估结果 | 高风险领域获得更多审核关注和抽样深度 | 处理敏感个人数据的关键系统 vs. 低风险内部支持系统 |
| 以前审核发现 | 先前有不符合项的领域需要跟进和验证纠正措施 | 验证先前发现的访问控制弱点是否已得到修复 |
| 组织变更 | 新的或重大变更的流程需要聚焦评审 | 并购后 IT 系统集成、迁移到云基础设施 |
| 事件历史 | 重复的事件类型或模式表明需要调查的系统性问题 | 反复成功的钓鱼攻击可能表明安全意识培训存在缺口 |
| 法规和合同变更 | 新的合规义务创建了必须满足的新审核准则 | GDPR、CCPA、个人信息保护法或影响信息安全要求的行业特定法规 |
审核计划应足够灵活以适应变化的情况，同时保持足够的严谨性以提供保证。ISO/IEC 27007 建议建立至少覆盖整个认证周期（3 年）的审核计划，对每次单独审核进行详细规划，并为发生重大事件或变更时进行计划外审核做好准备。审核计划管理员应维护主计划表，分配合格的审核员，并确保审核结果由管理层评审，作为持续改进过程的输入。
2. 实施 ISMS 审核——第一阶段和第二阶段
ISO/IEC 27007 遵循 ISO 19011 确立并由 ISO/IEC 27006-1 为认证审核强制要求的两阶段审核方法。每个阶段都有不同的目标和活动：
- 第一阶段（就绪评审）：评估 ISMS 是否已足够成熟并做好全面评估的准备。关键活动包括评审文件化信息（ISMS 范围文件、安全政策、风险评估方法和结果、适用性声明），验证风险评估和处置流程是否可运行并已应用于定义的范围，检查管理层对法律法规合规义务的认识，以及评估内部审核和管理评审是否已进行及其发现是否已解决。第一阶段通常在现场进行，但在风险评估和技术能力证明合理的情况下，远程元素日益被接受。
- 第二阶段（全面评估）：在第一阶段的所有发现和问题得到满意解决后进行。此阶段测试 ISMS 的实际实施、运营有效性和持续改进。审核员对 ISO/IEC 27001 所有条款（第 4-10 条）和选定的附录 A 控制项进行客观证据抽样，面谈各级人员，观察运行中的流程，检查记录和文件化信息。输出是一份全面的审核报告，记录发现（不符合项、观察结果和改进机会）、关于符合性和有效性的审核结论，以及认证建议。
ISMS 审核期间的一个常见错误是过度关注文件评审而忽略了对控制有效性的实质性测试。ISO/IEC 27007 提醒审核员，文档证明了意图和设计，但观察、面谈和记录评审证明了实施和有效性。没有人遵守的编写良好的安全政策会导致严重不符合项——文件化信息的存在并不足以证明 ISMS 在正常运行。
3. 审核员能力与专业判断
该标准对审核员能力给予了重要关注，认识到 ISMS 审核的质量从根本上取决于审核员的知识、技能和经验。除了 ISO 19011 的一般能力要求外，ISMS 审核员还需要在以下领域具备特定能力：
- 信息安全原则和概念：深入理解 CIA 三元组（机密性、完整性、可用性）、信息安全风险管理术语、安全控制类别（预防性、检测性、纠正性、威慑性、恢复性）以及安全控制与业务流程之间的关系。
- 技术意识：对网络安全架构、密码学（加密算法、PKI、TLS）、操作系统加固、应用安全（安全编码、OWASP Top 10）、云安全（共担责任模型、IAM、数据保护）和运营技术安全有足够了解，以评估控制实施并识别潜在弱点。
- 法律法规知识：了解受审核方管辖范围内适用的信息安全和个人数据保护法律，包括违规通知要求、跨境数据传输限制以及行业特定合规义务。
- 安全背景下的审核技巧：面谈技术人员的专业技能、抽样安全事件和日志的方法、通过观察而非自我报告评估安全意识的能力，以及编写清晰、可操作的审核发现的能力——能够区分症状和根本原因。
最优秀的 ISMS 审核员将深厚的技术安全知识与严格的审核纪律和专业怀疑态度相结合。他们知道如何就配置管理提出探索性问题而无需亲自审查每条防火墙规则，如何通过对非 IT 员工进行有针对性的面谈而非仅依赖培训完成统计数据来评估安全意识，以及如何区分孤立的程序失误与需要管理层关注的系统性控制失败。
ISO/IEC 27007 还强调了专业判断的作用。审核员必须评价个别发现在整个 ISMS 背景下的重要性，区分孤立的非严重问题与破坏 ISMS 实现目标能力的系统性失败，并评估整体 ISMS 是否得到有效实施和维护。这种判断力通过高级审核员指导下的经验培养，是 ISO/IEC 27006-1 要求的能力评价过程中的关键因素。
4. 常见问题解答
问：ISO/IEC 27007 可以用于内部审核，还是仅适用于外部认证审核？
答：两者都适用。虽然该标准通常与外部认证审核相关联，但它为内部审核员同样提供了宝贵的指南。组织应培训其内部审核团队掌握 ISO/IEC 27007，以确保一致、专业的审核实践，并为外部认证审核做好有效准备。
答：两者都适用。虽然该标准通常与外部认证审核相关联，但它为内部审核员同样提供了宝贵的指南。组织应培训其内部审核团队掌握 ISO/IEC 27007，以确保一致、专业的审核实践，并为外部认证审核做好有效准备。
问：ISO/IEC 27007 和 ISO 19011 的关系是什么？
答：ISO/IEC 27007 是 ISO 19011 的行业特定补充。ISO 19011 为所有管理体系（质量、环境、安全等）提供通用审核指南。ISO/IEC 27007 增加了信息安全特定内容、术语、风险考虑因素和技术审核指南。这两个标准应结合使用。
答：ISO/IEC 27007 是 ISO 19011 的行业特定补充。ISO 19011 为所有管理体系（质量、环境、安全等）提供通用审核指南。ISO/IEC 27007 增加了信息安全特定内容、术语、风险考虑因素和技术审核指南。这两个标准应结合使用。
问：ISO/IEC 27007 仅涵盖控制的审核，还是涵盖包括管理流程在内的整个 ISMS？
答：两者都涵盖。该标准涉及 ISMS 管理体系整体的审核（第 4-10 条：组织环境、领导作用、策划、支持、运行、绩效评价、改进）以及 ISO/IEC 27001 附录 A 中的具体安全控制。根据 ISO/IEC 27007 进行的完整 ISMS 审核涵盖这两个维度。
答：两者都涵盖。该标准涉及 ISMS 管理体系整体的审核（第 4-10 条：组织环境、领导作用、策划、支持、运行、绩效评价、改进）以及 ISO/IEC 27001 附录 A 中的具体安全控制。根据 ISO/IEC 27007 进行的完整 ISMS 审核涵盖这两个维度。
问：ISO/IEC 27007 如何处理远程审核技术？
答：虽然发布于 2020 年（在疫情推动的远程审核激增之前），该标准提供了适用于远程审核的基本原则，包括安全信息交换协议、使用视频会议的远程面谈技术、用于证据评审的屏幕共享，以及技术辅助的审核证据收集和分析。ISO 和认可机构后续发布的补充指南进一步发展了这些规定。
答：虽然发布于 2020 年（在疫情推动的远程审核激增之前），该标准提供了适用于远程审核的基本原则，包括安全信息交换协议、使用视频会议的远程面谈技术、用于证据评审的屏幕共享，以及技术辅助的审核证据收集和分析。ISO 和认可机构后续发布的补充指南进一步发展了这些规定。
