一、文件审核关注要点

在进行文件审核时，审核员主要关注信息安全管理体系文件是否符合ISO27001标准，关注文件的适宜性和完整性是否符合要求。关注的文件包括但不限于:

法律地位证明、组织简介、组织机构图、人员情况说明、管理手册、程序文件、信息安全方针和目标、信息安全管理体系的规程和控制措施、SOA适用性声明、风险评估报告、残余风险声明、风险处置计划、资产识别表、法律法规清单。

二、现场审核关注要点

现场审核时，审核员主要关注组织信息安全管理体系执行的程度及有效性，除着重关注各部门信息安全资产识别与风险管理相关记录外，对应不同部门或角色，着重关注的体系运行记录分别为：

行政人事部门：

1、来访人员登记记录

2、人员保密协议

3、与信息安全相关的法律法规清单、符合性评价

4、与信息安全相关的培训计划、培训签到记录

IT相关部门：

1、服务器管理（包括设备点检、测试日志记录与审查)

2、机房管理等重点区域进出管理

3、对各部门定期杀毒、屏保、密码等监督检查表单

4、公司软件使用清单、容量标注

5、重要数据备份记录

6、上网安全检查

7、各类信息系统如邮箱、OA权限及权限时效性管理记录

市场开发部门：

1、合同、订单

2、业务连续性资料(计划、验证)

3、访问区域限制如未经授权人员可能进入的地点管理记录

研发部门:

1、产品技术资料（设计开发资料，应包括信息安全风险评估)

2、研发人员保密协议

3、生产工艺流程图

采购部门：

1、合格供应商名录

2、供应商调查表

3、供应商签署安全要求的文件协议

4、供应商基本资料(如营业执照、ISO9001证书等)

管理层：

1、目标达成统计表

2、文件清单（手册、程序、作业指导书)

3、文件发布记录

4、外来文件清单

5、全公司资产识别与风险管理汇总表

6、内审、管审过程记录