ISO 27001认证审核现场，审核员通常会查哪些证据

审核现场的时间有限，审核员会挑与风险相关性高的部分深入查看。把常被查的证据类型梳理出来，有助于企业提前自查。

先从条款层面看，第4章到第10章都要有对应证据。组织环境与相关方分析的材料、信息安全的方针与批准记录、角色职责的任命文件、风险评估与处置的全套记录、适用性声明、目标与达成情况、能力与意识培训记录、沟通安排、文件化信息的管理记录、运行控制记录、监视测量与分析结果、内审与管评记录、不符合与纠正措施记录。这些是框架性的，缺项会直接影响结论。

再看控制层面，审核员通常会顺着几条链查。访问控制这条链：权限申请与审批、权限清单、定期复核记录、离职或转岗后的权限回收记录、特权账号的使用与审批。

备份与恢复这条链：备份策略、备份执行记录、恢复验证记录、异地或离线副本的保存方式。只看备份成功不看恢复验证，是比较常见的短板。

日志与监控这条链：日志采集范围、留存期限、查阅与告警处置记录。有些企业日志留存时间很短，或者采集范围只覆盖部分设备，会被追问依据。

漏洞与补丁这条链：漏洞扫描或检测记录、修复跟踪、未修复项的评估与批准。审核关注的是有没有闭环，而不只是有没有扫描。

事件管理这条链：事件接收与分级、处置过程、升级与通报、复盘与改进。没有真实事件的企业，可以用演练记录替代，说明流程可执行。

供应商这条链：供应商清单、信息安全的评估记录、合同或协议中的安全条款、再评估安排。云服务商和外包运维是重点。

物理与环境这条链：门禁与来访记录、监控留存、机房环境监控、设备维修与报废时的数据处置记录。

审核员还会做访谈，问题往往围绕实际做法展开。例如问系统管理员上一次权限复核发现了什么、怎么处理的；问项目负责人新系统上线前做了哪些安全评估；问人事上次离职的账号关闭用了多久。这类问题准备得越具体，审核越顺。

准备材料时建议按主题归集，而不是按部门堆放。现场审核的时间有限，材料按访问控制、备份恢复、事件管理、供应商管理、意识培训这样的主题整理，能明显减少查找时间。人员访谈也要提前过一次，重点是让被访谈的人能说清自己岗位相关的做法，以及对应的记录存放在哪里。

准备时的原则是记录要真实、连续、可追溯。为了审核集中补做的记录，容易在时间逻辑或内容一致性上被发现。平时按流程留痕，审核时按主题归集，是比较省力的做法。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com