二、ISO27001信息安全管理體系 風險評估與處置審核
檢查信息安全管理體系的風險處置計劃是否完備，特別是計劃信息安全風險評估與處置是ISMS的核心過程，風險評估與處置的審核也成為ISO27001信息安全管理體系審核的核心脈絡，目的是評價受審組織的風險評估是否依據ISO27001標準要求的流程進行；組織所確定的風險評估方法是否符合ISO27001標準要求；生成的風險評估報告是否與組織確定的方法一致；組織信息資產的收集是否完整、重要度識別是否與組織體系范圍內的業務密切相關、脆弱性和威脅的識別是否完整；組織的風險接受準則是否明確、合理；是否根據風險評估制定了可行的風險處置計劃，計劃是否得到執行、監視與評審；殘余風險是否符合組織的風險接受準則，是否對殘余風險進行了評估，評估方法是否與組織確定的方法一致。
風險評估與處置的審核是第二階段審核的重點內容之一，主要包括：
1．風險評估與處置程序的審核
評價程序的完備性和可執行性，可采用查閱記錄、與風險評估小組成員面談相結合的方式。
2．風險評估方法的審核
評價組織所定義的風險評估方法是否符合ISO27001標準的要求，是否具有可操作性。評價評估方法是否符合要求主要看該方法是否真正考慮了業務風險的影響因素，以及評估結果是否可比較和可再現，并評價信息資產的收集和風險分析是否覆蓋了信息安全管理體系的范圍。
3．風險評估報告的審核
檢查風險評估報告內容是否基本完備，提供的重要資產清單是否與信息安全管理體系范圍相適應；這需要審核員具有相當的與受審核組織業務相關的信息技術和信息安全技術的應用知識，風險評估報告是否與組織的信息安全現狀明顯不符。
審核員需要熟悉ISO27001標準的風險評估，并需準確了解組織面臨的信息安全風險，進而確定主要資產和風險檢查點，結合另外三條線進行審核追蹤。
4．風險處置計劃的審核
檢查風險處置計劃是否完備，特別是計劃的實施結果是否得到監視和評審，殘余風險是否控制在受審核組織可接受范圍之內，沒有控制在可接受范圍之內的是否得到領導層的批準進而確定風險處置計劃的檢查點，結合另外三條線進行審核追蹤。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
