CNAS-CC170：2015 信息安全管理体系认证机构要求 (1).pdf

1、 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 CNAS-CC170 信息安全 管理体系认证机构要求 Requirements for Information Security Management System Certification Bodies 中国合格评定国家认可委员会 CNAS-CC170:2015 第 1 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 目 次 目 次 . 1 前 言 . 3 引 言 . 4 1 范围 5 2 规范性引用文件 5 3 术语和定义 5 4 原则 5 5 通用要求 5

2、 5.1 法律与合同事宜 5 5.2 公正性的管理 5 5.3 责任和财力 6 6 结构要求 6 7 资源要求 6 7.1 人员能力 6 7.2 参与认证活动的人员 9 7.3 外部审核员和外部技术专家的使用 . 10 7.4 人员记录 . 10 7.5 外包 . 10 8 信息要求 . 10 8.1 公开信息 . 10 8.2 认证文件 . 11 8.3 认证的引用和标志的使用 . 11 8.4 保密 . 11 8.5 认证机构与其客户间的信息交换 . 11 9 过程要求 . 11 9.1 认证前的活动 11 9.2 策划审核 14 9.3 初次认证 15 9.4 实施审核 16 9.5 认

3、证决定 17 9.6 保持认证 17 9.7 申诉 18 CNAS-CC170:2015 第 2 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 9.8 投诉 18 9.9 客户的记录 18 10 认证机构的管理体系要求 18 10.1 可选方式 . 18 10.2 方式 A： 通用的管理体系要求 . 19 10.3 方式 B：与 GB/T19001 一致的管理体系要求 . 19 附录 A（资料性附录） ISMS 审核与认证的知识与技能 . 20 附录 B（规范性附录） 审核时间 . 22 附录 C（资料性附录） 审核时间计算方法 . 27 附

4、录 D（资料性附录） 对已实施的 ISO/IEC 27001:2013 附录 A的控制的评审指南 31 参考文献 . 37 CNAS-CC170:2015 第 3 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 前 言 本文件等同采用 国际标准 ISO/IEC 27006:2015信息技术 安全技术 信息安全管理体系审核认证机构的要求。本文件是 CNAS对信息安全管理体系认证机构的专用认可准则，与管理体系认证机构基本认可准则 CNAS-CC01:2015管理体系认证机构要求共同构成 CNAS对信息安全管理体系认证机构的认可准则。 本文件的 附录

5、 A、 C和 D是资料性附录 ，附录 B是规范性附录 。 为了便于使用，对 ISO/IEC 27006:2015做了下列编辑性修改： 1) 针对认证机构的管理 时，用词汇“程序”表示“ procedure” ；针对客户的管理时，用词汇“规程”表示“ procedure” ； 2) 针对认证机构的管理 时，用词汇“政策”表示 “ policy” ；针对客户的 信息安全方面的 管理时，用词汇“策略”表示 “ policy” ， 针对客户的管理体系方面的管理时 ， 用 “ 方针 ”表示“ policy” ； 本文件 代替 了 CNAS-CC17:2012。 CNAS-CC170:2015 第 4 页

6、 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 引 言 CNAS-CC01:2015(等同采用 ISO/IEC 17021-1:2015)是 CNAS针对各类管理体系认证机构的基本认可准则。如果 管理体系认证 机构按照 ISO/IEC 27001:2013信息技术 安全技术 信息安全管理体系 要求 开展以信息安全管理体系（ ISMS）审核和认证为目的活动，并打算依据 CNAS-CC01:2015获得认可，对 CNAS-CC01:2015补充 一些要求和指南是必要的。本 文件 提供了这样的内容。 本 文件 正文遵循 CNAS-CC01:2015的结

7、构，针对 ISMS审核和认证所增加的特定要求和指南，用“ IS”加以标识。 贯穿本 文件 全文，使用“应”（ shall） 这一术语，以表示本 文件 中与 CNAS-CC01:2015和 ISO/IEC 27001:2013的要求相对应的条款是要求性的，认证机构必须遵循；使用“宜”（ should） 这一术语 表示建议。 本文件的 主要 目的是使得 认可机构在应用其评审认证机构所依据的标准时更有效地协调一致 。 注： 本文件中 术语 “管理体系”和“体系”可以互换使用。管理体系的定义见 GB/T 19000-2008（ ISO 9000:2005， IDT）。 请勿将本文件中使用的管理体系与其

8、他类型的系统混淆， 例如 IT系统。 CNAS-CC170:2015 第 5 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 信息安全 管理体系 认证机构 要求 1 范围 本文件对实施信息安全管理体系（以下简称“ ISMS”）审核和认证的机构 规定 了要求并提供 了 指南，以作为对 CNAS-CC01:2015和 ISO/IEC 27001:2013要求的补充。本文件的主要 目的 是 为 ISMS认证机构的认可提供支持。 任何提供 ISMS认证的机构 ， 需要在能力和可靠性方面证实其满足本文件 中 的要求。本文件 中 的指南 提供了对 这些要求

9、 的 进一步说明。 注：本文件可以作为认可、同行评审或其他审核过程的准则性文件。 2 规范性引用文件 下列文件对于本文件的应用是 必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 CNAS-CC01:2015 管理体系认证机构要求（ 等同采用 ISO/IEC 17021-1:2015） ISO/IEC 27000 信息技术 安全技术 信息安全管理体系 概述与词汇 ISO/IEC 27001:2013 信息技术 安全技术 信息安全管理体系 要求 3 术语和定义 CNAS-CC01:2015和 ISO/IEC 270

10、00中确立的以及下列术语和定义适用于本文件。 3.1 认证文件 certification document 表明客户 的 ISMS符合指定的 ISMS标准及 ISMS所要求的任 何补充性文件的一类文件。 4 原则 CNAS-CC01:2015中 第 4章 的原则适用。 5 通用要求 5.1 法律与合同事宜 CNAS-CC01中 5.1的要 求适用。 5.2 公正性的管理 CNAS-CC01中 5.2的 要求适用。并且， 以下要求和指 南适用。 5.2.1 IS 5.2 利益冲突 CNAS-CC170:2015 第 6 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 0

11、4 月 01 日 实施 认证机构 可以 从事以下工作 ，而 不被视为咨询或具有潜在的利益冲突： a） 安排 培训课程并 作为讲师 参与讲授 ，如果这些课程涉及信息安全管理 、有关的管理体系或审核，认证机构 应 仅限于提供可公开获取的通用信息和建议， 即 认证机构 不应 针对具体公司提供那些违反下面 b)要求的建议； b） 根据请求，提供或发布认证机构对认证审核标准要求 的解释性 信 息 （见 9.1.3.6） ； c） 仅以确定认证审核是否就绪为目的的审核前活动，但是这些活动 不应 导致提供违反本条款的建议和意见。认证机构 应 能够 证实 这些活动不违反 本条款的 要求，且没有 把这些活动 作

12、为减少 最终认证审核时间的理由； d） 根据 没有包含在认可范围内的 标准或法规，实施第二方或第三方审核； e） 在认证审核和监督审核过程中的增值活动，例如，在 审核过程中，当改进机会明显时，识别改进机会但不推荐具体的解决方案。 认证 机构 不应为寻求认证的客户 ISMS提供内部信息安全评审。此外， 认证机构应独立于提供 ISMS内部审核的机构（包括任何个人）。 5.3 责任和财力 CNAS-CC01中 5.3的要求 适用。 6 结构要求 CNAS-CC01第 6章 的 要求适用。 7 资源要求 7.1 人员能力 CNAS-CC01中 7.1的要求适用。并且，以下要求和 指南适用。 7.1.1

13、 通用的能力要求 认证机构应确保 其人员 具备与所评定的客户 ISMS有关的 、适时的 技术 知识 和法律 法规 知识。 认证机构应参照 CNAS-CC01的 表 A.1，为每项认证职能确定能力准则。 认证 机构应考虑 CNAS-CC01以及本文件 7.1.2和 7.2.1中所规定的、与 认证机构 确定 ISMS技术领域相关的所有要求。 注： 附录 A提供了特定认证职能的人员能力要求 的 摘要 。 7.1.2 IS 7.1.2 能力准则 的确定 7.1.2.1 实施 ISMS审核的能力要求 7.1.2.1.1 总体要求 认证 机构 应有 验证审核组成员的背景 经验 、特定培训或情况说明的准则，

14、以确保审核组至少具备： a） 信息安全的知识； CNAS-CC170:2015 第 7 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 b） 与 受审核的活动相关的技术知识； c） 管理体系的知识； d） 审核 原则的知识； 注：有关审核原则的进一步信息，参见 GB/T 19011。 e） ISMS 监视、测量、分析和评价的知识 。 除了 b)可以在作为审核组成员的审核员之间共享外， 以上 a） -e） 适用于作为审核组成员的所有审核员 。 审核组应有能力将客户 ISMS中 信息 安全事件 的 现象追溯到 ISMS的相应要素； 审核 组应有关于

15、上述 项目 的适当工作经历 且实际应用过这 些项目 （这不意味着 一个审核员需要 具有 信息安全所有领域的全面的经验，但审核组整体上应对被审核的领域具备足够的认识和经验）。 7.1.2.1.2 信息安全管理术语、原则、 实践 和技术 审核组所有成员 作为一个整体， 应具有以下知识： a） ISMS特定文件 的 结构、 层级 和相互关系； b） 信息安全管理相关的工具、方法、技术及其应用； c） 信息安全风险评估和风险管理； d） ISMS适用的过程； e） 当前 可能 与信息安全相关的或 可能 面临信息安全问题的技术。 每个审核员 应 满足 a）、 c）和 d）。 7.1.2.1.3 信息安全

16、管理体系标准和规范性文件 参与 ISMS审核的审核员 ，应 具有以下 知识 ： a） ISO/IEC 27001的所有要求 ； 审核组所有成员作为一个整体，应具有以下知识： b） ISO/IEC 27002（如确定有必要 ，还可来源于行业特定标准） 中的所有控制 及其实施， 这些 控制分为以下类别： 1） 信息安全策略 ； 2） 信息安全组织 ； 3） 人力资源安全 ； 4） 资产管理 ； 5） 访问控制，包括鉴别 ； 6） 密码 ； 7） 物理和环境安全 ； 8） 运行安全，包括 IT服务 ； 9） 通讯安全，包括网络安全管理和信息传输； 10） 系统获取、开发和维护 ； 11） 供应商关系

17、，包括外包服务； CNAS-CC170:2015 第 8 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 12） 信息安全事件管理 ； 13） 业务连续性管理的信息安全方面，包括冗余； 14） 符合性，包括信息安全评审 。 7.1.2.1.4 业务管理实践 参与 ISMS审核的审核员，应具有以下知识： a） 行业 的信息安全 最佳实践和信息安全规程； b） 信息 安全的策略和业务要求； c） 通用 业务管理 的 概念、 实践 ，以及 方针 、目标和结果之间的关系； d） 管理过程和相关的术语 。 注：这些过程也包括人力资源管理、内部沟通、外部沟

18、通和其他 的 相关支持过程。 7.1.2.1.5 客户 的 业务领域 参与 ISMS审核的审核员，应具有以下知识： a） 特定的信息安全领域、地域和管辖范围的 法律 法规要求； 注：具备法律法规要求的知识，不意味着要有深厚的法律背景。 b） 与业务领域相关的信息安全风险 ； c） 与客户业务领域相关的通用术语、过程和技术 ； d） 相关业务领域 的 实践 。 准则 a）可在审核组 内 共享。 7.1.2.1.6 客户 的 产品、过程和组织 审核组所有成员作为一个整体，应具有以下知识： a） 组织类型、规模、治理、结构、职能和关系，对开发和实施 ISMS和认证活动的影响，包括外包； b） 广义上

19、的复杂运营 ； c） 适用于产品或服务 的 法律 法规 要求 ； 7.1.2.2 领导 ISMS审核组的能力要求 除了 7.1.2.1中的要求，审核组组长应满足以下要求： a） 具备管理认证审核过程 和审核组 的知识和技能； b） 具备有效的口头和书面沟通能力。 应通过在 有 指导和监督下进行的审核 来 证实审核组长满足上述要求。 7.1.2.3 实施申请评审的能力要求 7.1.2.3.1 信息安全管理体系标准和规范性文件 实施 申请 评审以确定所需的审核组能力、选择审核组成员并确定审核时间的人员，应具备以下知识： a） 认证过程中所用的 相关 ISMS标准和其他规范性文件 。 7.1.2.3

20、.2 客户 的 业务领域 CNAS-CC170:2015 第 9 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 实施申请评审以确定所需的审核组能力、选择审核组成员并确定审核时间的人员，应具备以下知识： a） 与客户业务领域相关的通用术语、过程、技术和风险 。 7.1.2.3.3 客户 的 产品、过程和组织 实施 申请 评审以确定所需的审核组能力、选择审核组成员并确定审核时间的人员，应具备以下知识： a） 客户 的产品、过程、组织类型、规模、治理、结构、职能和关系，包括外包 的职能 。 7.1.2.4 复核审核报告并做出认证决定的能力要求 7.

21、1.2.4.1 总则 复核审核报告并作出认证决定的人员应具备知识，使其能够验证认证范围 及其变更的适宜性 ，以及认证范围的变更 对 审核有效性的影响，特别是识别接口、 相关性 和 相应风险 时 的持续有效性； 此外， 复核 审核报告并作出认证决定的人员应具备以下知识： a） 通用的管理体系 ； b） 审核过程和程序 ； c） 审核原则、 实践 和技巧 。 7.1.2.4.2 信息安全管理术语、原则、 实践 和技术 复核审核 报告 并作出认证决定的人员，应具备以下知识： a） 7.1.2.1.2中 a）、 c）、 d）所列的知识； b） 与信息安全相关的 法律 法规要求 。 7.1.2.4.3

22、信息安全管理体系标准和规范性文件 复核 审核 报告并作出认证决定的人员，应具备以下知识： a） 认证过程中所用的相关 ISMS标准和其他规范性文件 。 7.1.2.4.4 客户 的 业务领域 复核 审核报告并作出认证决定的人员，应具备以下知识： a） 与 相关 业务领域 实践 有 关的通用术语和风险 。 7.1.2.4.5 客户 的 产品、过程和组织 复核 审核 报告并作出认证决定的人员，应具备以下知识： a） 客户 的 产品、过程、组织类型、规模、 治理 、结构、职能和关系 。 7.2 参与认证活动的人员 CNAS-CC01中 7.2的 要求 适用。并且，以下要求和 指南适用。 7.2.1

23、IS 7.2 证实 审核员 的 知识和经验 认证 机构 应通过以下方式证实审核员具备知识和经验： a） 经承认 的、 ISMS 特 定的资格； CNAS-CC170:2015 第 10 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 b） 适用时，注册为审核员； c） 参加 ISMS 培训课 程并获得相 关的个人 证书 ； d） 最新的持续专业发展记录； e） 由另一个 ISMS审核员见证的 ISMS审核 。 7.2.1.1 选择审核员 除 7.1.2.1之 外，选择审核员的准则应确保每位审核员： a） 具备 等同 于 大学教育 水平的专业教育

24、或培训 ； b） 在信息技术方面具备至 少 4 年的全职 实际工作经历，其中 至少 2 年的工 作经历来自与信息安全有关的职责或职能； c） 成功地 完成 至少 5 天的培训， 培训 范围包括 ISMS 审核 和审核管理； d） 在被赋予审核员责任之前，已获得整个信息安全 评估过程 的经验。宜通过参与最少 4 次、总天数至少 20 天 （其中最多 5 天可来自于监督审核） 的 ISMS 认证审核 （包括再认证审核和监督审核）来 获得 这种经验。参与审核时，应 包括 评审 文件 与风险评估，评 估 实施情况和 报告 审核情况 ； e） 具备 相关的且 合乎时宜的经验； f） 通过持续的专业发展，

25、 更新 现 有 的 、 信息安全和审核 方面 的知识与技能。 技术专家应符合 准则 a)、 b)和 e) 。 7.2.1.2 选择领导审核组的审核员 除 了 7.1.2.2和 7.2.1.1外 ， 选择领导审核组的审核员的准则应 确保该审核员： a） 已经 积极参与过 3 次 ISMS 审 核 的所有阶段 （ all stages） 。参与审核时，应包括初次 的 范围识别 与 策划 、 评审文件 与 风险评估 、 评估实施情况和 正式 地报告审核情况 。 7.3 外部审核员和外部技术专家的使用 CNAS-CC01中 7.3的要求适用。并且，以下要 求和指南适用。 7.3.1 IS 7.3 使用

26、外部审核员或外 部技术专家作为审核组的一部分 技术专家应在审核员的监督下进行工作。 7.2.1.1 列出了技术专家的最低要求。 7.4 人员记录 CNAS-CC01 中 7.4 的要求适用 。 7.5 外包 CNAS-CC01 中 7.5 的要求适用 。 8 信息要求 8.1 公开信息 CNAS-CC01 中 8.1 的要求适用。 CNAS-CC170:2015 第 11 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 8.2 认证文件 CNAS-CC01 中 8.2 的要求适用。并且，以下要求和指南适用 。 8.2.1 IS 8.2 ISMS

27、 认证文件 认证文件应 由负责此项职责的人员签署 。 认证 文件 应 包括适用性声明的版本。 注： 如 果适用性声明的变更没有 改变认证范围 中控制措施的覆 盖范围 ， 则 不 要求 更新 认证 证书 。 认证文件也可以 包括 所使用的行业 特定 标准。 8.3 认证的引用和标志的使用 CNAS-CC01 中 8.3 的要求适用。 8.4 保密 CNAS-CC01 中 8.4 的要求适用。并且，以下要求和 指南适用。 8.4.1 IS 8.4组织记录的获取 在认证审核之前，认证机构应要 求客户组织报告是否存在 因 包含保密性或敏感性信息 而导致不能提供给审核组核查 的 ISMS 相关信息 （例

28、如 ISMS 记录 或关于控制的设计与有效性的信息） 。认证机构应确定 ISMS 是否能在缺少这些 信息 的情况下得到充分审核。如果认证机构 的结论 是 若 不 核 查 已识别的保密性或敏感性 信息 就不能对 ISMS 进行充分 的 审核， 那么认证机构 则 应告知客户只有 在 适当的访问安排 获得 许可 后 才能进行认证审 核。 8.5 认证机构与其客户间的信息交换 CNAS-CC01 中 8.5 的要求适用 。 9 过程要求 9.1 认证前的活动 9.1.1 申请 CNAS-CC01 中 9.1 的要求适用。并且，以下要求和指南适用 。 9.1.1.1 IS 9.1.1 申请准备 认证机构

29、应要求客户具有一个已文件化 且 已 实施的 ISMS。 客户的 ISMS 应 符合ISO/IEC 27001和 认证所要求的其他文件 。 9.1.2 申 请评审 CNAS-CC01中 9.1.2 的要求适用。 9.1.3 审核方案 CNAS-CC01 中 9.1.3 的要求适用。并且，以下要求和指南适用 。 9.1.3.1 IS 9.1.3 总则 CNAS-CC170:2015 第 12 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 ISMS审核的审核方案应考虑所确定的信息安全控制。 9.1.3.2 IS 9.1.3审核方法 认证机构的 程序

30、不应预先假定 ISMS 实施的特殊方式或文件和记录的特殊格式。认证程序应将重点放在确定客户的 ISMS满足 ISO/IEC 27001的要求 和 客户的策略与目标。 注： ISO/IEC 27007给出了 有关审核的进一步指南。 9.1.3.3 IS 9.1.3 初次审核的 总体 准备 认证机构应要求客户为 调阅 内部审核报告和信息安全独立评审报告做出所有必要的安排 。在认证审核的一阶段， 客户应至少提供以下信息： a） ISMS 和其所覆盖 活动的一般信息； b） ISO/IEC 27001 所规定的 、必要 的 ISMS 文件 的副本，及必要的相关文件。 9.1.3.4 IS 9.1.3

31、评审周期 如果一个 ISMS没有至少实施过一次覆盖认证范围的管理评审和内部审核，认证机构不应对该 ISMS实施认证。 9.1.3.5 IS 9.1.3认证范围 审核组应 根据 所有适用 的认 证要求，对包含在确定范围内的客户 ISMS 进行审核。认证机构应确认客户在其 ISMS 范围内满足了 ISO/IEC 27001 中 4.3 的要求。 认证机构应确保 ： 客户的信息安全风险评估和风险处置 准 确地体现了 认证范围所界定的 活动 并扩展到 活动的边界 。认证机构 应确认这在客户的 ISMS 范围和 适用性声明中得到 了 体现。 认证机构应验证每个认证范围至少有一个适用性声明。 认证机构应确

32、 保 ： 与不完全 包含在 ISMS 范围内的服务或活动的接口 ， 已在 寻求 认证的 ISMS 中得到说明，并已包括在客户的信息安全风险评估中 。 与其他机 构共享设施（ 如： IT系统、数据库和通讯系统 或外包一项业务职能 ） ，是这类情形的一个示例 。 9.1.3.6 IS 9.1.3认证审核准则 客户 ISMS 接受审核的准则应是 ISMS 标准 ISO/IEC 27001。与所实施的业务相关的其他文件，可以作为认证要求。 9.1.4 确定审核时间 CNAS-CC01 中 9.1.4 的要求适用。并且，以下要求和指南适用 。 9.1.4.1 IS 9.1.4审核时间 认证机构应给予审核

33、员足够的时间来开展与初次审核、监督审核或再认证审核相关的所有活动。总审核时间的计算，应包括 报告审核情况 所需的充足时 间。 认证机构应使用附录 B来确定审核时间。 注：附录 C提供了审核时间计算的进一步指南和示例。 9.1.5 多场所的抽样 CNAS-CC01 中 9.1.5 的要求适用。并且，以下要求和指南适用 。 9.1.5.1 IS 9.1.5多场所 CNAS-CC170:2015 第 13 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 9.1.5.1.1 当客户拥有满足以下 a)至 c)的多个场所时，认证机构可以考虑使用基于抽样的方

34、法进行多场所认证审核： a） 所有的场所在 同一 ISMS 下运行，并接受统一 的管理、内部审核和管理评审； b） 所有的场所都包含在客 户的 ISMS 内部 审核方案中； c） 所有的场所都包含在客 户的 ISMS 管理 评 审方案中。 9.1.5.1.2 认证机构使用基于抽样的方法时，应有适宜的程序以确保： a） 在初次的合同评审时，最大程度地识别场所之间的差异，以便确定适宜的抽样水平； b） 结合以下因素，认证机构抽取具有代表性的场所： 1) 总部及其他场所的内部审核的结果； 2) 管理评审的结果； 3) 场所规模的 差异 ； 4) 各 场所业务目的的 差异 ； 5) 不同场所的信息系统

35、的复杂程度； 6) 工作 实践 的 差异 ； 7) 所实施的活动的 差异 ； 8) 控制的设计与运行的差异 9) 与关键的信息系统或处理敏感信息的信息系统之间的潜在 交互 ； 10) 任何不同的法律要求 ； 11) 地域和文化因素； 12) 场所的风险状 况； 13) 发生在 特定场所的信息安全事件 。 c） 从客户 ISMS 范围内 的 所有场所中选择具有代表性的样本， 该 选择应基于 一个可体现 上述 b)中所列因素 的判定 ，同时也考虑随机因素； d） 在授予认证之前，认证机构审核 了 ISMS 中每个 具 有重 大风险的场所； e） 根据上述要求设计审核方案， 且审核方案要 在三 年内

36、覆盖 ISMS 认证范围内的代表性样本； f） 无论是在总部还是在单 个 场所发现不符合，纠正措施规程的实施适用于包括在认证范围内的总部和所有场所。 审核应关注客户 总部为确保 一个 ISMS 运用 于所有场所并在运行层面上实施统一管理所进行的活动。审核应 关注 上 述所有事项。 9.1.6 多管理体系 标准 CNAS-CC01中 9.1.6 的要求适 用。并且，以下要求和指南适用 。 9.1.6.1 IS 9.1.6 ISMS 文件与其他管理体系文件的整合 只 要 能够清楚地识别 ISMS 以及 ISMS 与其他管理体系的适当接口， 认证机构可以接受多个管理体系文件相结合的文件 （例如， 对

37、信息安全、 质量、环境和健康与安全）。 CNAS-CC170:2015 第 14 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 9.1.6.2 IS 9.1.6 管理体系结合审核 只要能够 证实审核 满足了 ISMS认证 的 所有要求， ISMS审核可以和其他管理体系审核相结合。在审核报告中，所有对 ISMS重要的要 素应清晰地 体现并易于识别。审核的质量不应 因 结合审核 而 受到负面影响。 9.2 策划审核 9.2.1 确定审核目的、范围和准则 CNAS-CC01中 9.2.1 的要求适 用。并且，以下要求和指南适用 。 9.2.1.1

38、IS 9.2.1 审核目 的 审核目 的 应包括确定管理体系的有效性，以确保客户已根据风险评估实施了 适用 的控制并实现了所设立的信息安全目标。 9.2.2 选择和指派审核组 CNAS-CC01中 9.2.2 的要 求适用。并且，以下要求和指南适用 。 9.2.2.1 IS 9.2.2 审核组 认证 机构应正式任命审核组并为其提供相应的工作文件。认证机构应明确 地 规定审核组的任务 ,并使客户知晓。 审核组可以由一个人组成，只要其满足 7.1.2.1 中所规定的 全部准则。 9.2.2.2 IS 9.2.2审核组能力 本文件 7.1.2的要求 适用 。对于监督和特殊审核活动，仅那些与所 安排

39、的监督活动和特殊审核活动相关的要求适用。 当为特定认证审核选择审核组时，认证机构应确保 每 次 委派 时 审核组的 能力 是适宜的。审核组应： a） 对拟认证 ISMS 范 围内 的特定活动具备适当的技术知识，以及 相关 时 ， 对 这些活动 的 相关规程和其潜在信息安全风险 具备 适当的 技术知识（技术专家可以履行此项职责）； b） 理解客户， 足 以 基于 客户 ISMS范围和组织环境 对 ISMS（ 该体系管理着客户活动、产品和服务的信息安全） 进 行可靠的认证审核； c） 适当地理解适用于 客户 ISMS的 法律 法 规要求。 注：适当地理解法规要求不意味着要有深厚的法律背景。 9.2

40、.3 审核计划 CNAS-CC01中 9.2.1 的 要求适用。并且，以下要求和指南适用 。 9.2.3.1 IS 9.2.3总则 ISMS审核计划应考虑所确定的信息安全控制措施。 9.2.3.2 IS 9.2.3 网络支持审核技术 如适 宜，审核计划应识别在审核中使用的网络支持的审核技术。 CNAS-CC170:2015 第 15 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 注：网络支持的审核技术 可包括： 例如，电话会议、网络会议、基于网络的 交互式通信 和远程电子访问 ISMS文件和（或） ISMS过程。 对 这些技术 的关注， 将提

41、高审核的有效性和效率，并支持审核过程的完整性。 9.2.3.3 IS 9.2.3 审核时间 的 选择 认证机构宜与拟审核的组织 就选择一个 能最 有效 地证实 其整个 ISMS 范围的审核时间达成一致意见。适当时，可考虑季度、月份、日期和班次。 9.3 初次认证 CNAS-CC01中 9.3的 要求适用。并且，以下要求和指南适用 。 9.3.1 IS 9.3.1 初次认证审核 9.3.1.1 IS 9.3.1.1 第一阶段 在该审核阶段，认证机构应获取 有关 ISMS设计 的文件，其中 包括 ISO/IEC 27001所要求的文件。 认证机构应充分了解在组织环境下 所进行 的 ISMS设计、

42、风险评估和 处置（包括所确定的控制）、信息安全 方针 和 目标 ，以及 特别是客户的审核准备 情况 。 在此基础上，才能进行第二阶段的策划 。 第一阶段 的 结果应形成书面报告。 在决定进行第二阶段之前， 认证机构应 审查 第一阶段的审核报告，以便 为第二阶段 选择具有所需能力的审核组成员。 认证机构应让客户 知晓 第二阶段 可以要求对更 进一步 的 信息和记录 做 详细检查。 9.3.1.2 IS 9.3.1.2 第二阶段 9.3.1.2.1 基于 第一阶段审核报告中的审核发现 ， 认证机构 制定 实施第二阶段的审核计划。 除了评价 ISMS的有效实施之外， 第二阶段的目 的 是： a） 确

43、认客户遵守自身的 方针、 策略和规程 。 9.3.1.2.2 为此，审核应重点关注客户： a） 最高管理者的领导力和对信息安全方针与信息安全目标的承诺 ； b） ISO/IEC 27001中 所 列 的 文件 要求 ； c） 评估 与信息安全有关的风险， 以 及评估 可 产生 一致的、有效的 、在重复评估时 可比较的结果； d） 基于风险评估 和 风险处置过程 ， 确定 控制目标 和 控制； e） 信息安全绩效和 ISMS 有效性 ， 以 及 根据信息安全目标 对其 进行评审 ； f） 所 确定 的控制、适用性声明 、 风险评估 与 风险处置过程的结果 、信息安全方针与目标，它们 相互之间的一

44、致性； g） 控制的实施（见 附录 D），考虑 了外部环境、内部环境与相关的风险 ，以及 组织对信息安全过程和控制的监视、测量与分析， 以确定控制是否得以实施 、有效 并达到 其 所 规定 的目标； CNAS-CC170:2015 第 16 页 共 37 页 2015 年 12 月 30 日 发布 2016 年 04 月 01 日 实施 h） 方案、过程、规程 、记录、内部审核和对 ISMS 有效性 的评审，以确保其可被追溯至管理决定 和 信息安全 方 针与目标 。 9.4 实施审核 CNAS-CC01:2015中 9.4的要求适用。并且，以下要求和指南适用 。 9.4.1 IS 9.4 总则

45、 认证机构应具备形成文件的程序，以： a） 依据 CNAS-CC01 的规定，对客户的 ISMS 进行初 次认证审核； b） 依据 CNAS-CC01，对客户的 ISMS 定期 进行监督审核和再认证审核，以 确认 其持续符合相关要求， 并验证和记录客户 为 纠正 所有 的 不符合 而 及时采取 了 纠正措施。 9.4.2 IS 9.4 ISMS 审核的特定要素 认证机构，由审核组所代表，应： a） 要求客户证实对信息安全相关风险的评估与 ISMS范围内的 ISMS运行是相关的和充分的； b） 确定客户识别、检查和评价信息安全 相关风险 的规程 及其 实施结果 是否与客户的方针、目标和指标 相

46、一致。 认证机构 还 应确定用于风险 评估 的规程是否健全并 得到 正确实施。 9.4.3 IS 9.4审核报告 9.4.3.1 除了 CNAS-CC01 9.4.8 中对审核报告的要求之外， 审核报告应提供以下信息或对这些信息的引用： a） 审核的说明，其中包括了文件评审摘要； b） 对客户信息安全风险分析进行认证审核的说明； c） 与审核计划的偏离（例如：在某一 预定的 活动上花费更多或更少的时间） ； d） ISMS的范围 。 9.4.3.2 审核报告应足够详细，以帮助和支持认证决定。审核报告应包括： a） 所采用的主要审核路线和所使用的审核方法 （见 9.1.3.2)； b） 形成的 观察结果，包括正面的（例如，值得注意的 特征 ）和负面的（例如，潜在的不符合）； c） 对 客户 ISMS 与认 证要 求的符合性的 评价 意见 、 对不符合的清楚说明 、 所引用的适用性声明的版本，以及适用时，与客户 以往 认证审核结果的任何有用的对照。 完成的问卷、检查清单、观察结果、日志或审核员笔记 可以 构成完整的审核报告