技能介绍

审计流程的碎片化难题

ISO 27001认证审计涉及多个环节：从风险评估到控制测试，从不符合项整改到认证支持。许多团队在实际操作中常遇到审计计划与风险脱节、控制评估标准不统一、不符合项管理流程混乱等问题。例如，关键风险控制项的审计频率可能与低风险项相同，导致资源分配不合理；审计证据收集过程缺乏结构化模板，使得不同审计员的判断标准不一致；不符合项的整改跟踪往往依赖人工记录，容易出现遗漏或延迟。

结构化审计工作流

本技能以ISO 27001标准为核心，构建覆盖审计全生命周期的结构化工作流。在审计计划阶段，通过isms_audit_scheduler.py脚本生成基于风险的审计计划，按关键、高、中、低风险等级设置不同的审计频率（如关键控制项每季度审计）。审计执行阶段包含五个核心步骤：从文档审查、证据收集到控制验证，每个步骤都有明确的验证节点（如“所有范围内控制均有文档化证据支持”）。控制评估模块采用ISO 27002的控制目标作为测试基准，通过询问、观察、检查等方法验证控制有效性。不符合项管理提供严重程度分类（重大/轻微不符合项）和整改流程，要求10天内完成根因分析，并跟踪整改效果直至问题关闭。

安全边界与适用范围

技能默认处于“参考模式”，不会自动安装依赖或修改系统配置。涉及外部操作（如发送报告、部署应用）时，会先展示操作目标和影响，需用户明确确认后执行。凭据处理严格限定在用户指定的服务范围内，不回显、不记录或转发至无关地址。适用于已完成ISMS体系搭建、需要标准化审计流程的组织；对于尚未建立基础安全控制（如访问控制策略、事件响应流程）的团队，建议先完成基础建设再使用本技能。