F1252544209953 ISO 27001評審人員現場見證評估表

□(1)ISMS之建立與管理( 4.2.1、4.2.2 )

□(2)ISMS之建立與管理( 4.2.3、4.2.4 )

□(3)文件要求(4.3.1、4.3.2、4.3.3 )

□(4)管理階層責任( 5.1、5.2.2 )

□(5)ISMS內部稽核與管理階層審查( 6 、7 )

□(6)ISMS之持續改進( 8.1 )

□(7)附錄A項目：(請填入A5~A15標準條文項目)

；；；；

；；；；

評核項目/評比

優異

良好

普通

待改進

不佳

對本局管理系統驗證相關作業之了解與表達

時間之應用與掌握

對組織之態度

稽核路徑之邏輯性、缺點判定之溝通、合理性

查核深度、廣度

綜合評價(具體摘述請填入「四、綜合評價」)

經現場訪談組織代表，對本局及被評估人員之回饋意見或建議：

綜合結論(整體作業表現，查核細節詳續頁)：

建議事項：

經現場抽樣上述各項見證評估，被評估人員對應用ISO 27001標準之驗證有效性：

• 符合(整體而言能正確運用且屬有效)

• 符合(少部分查證過程尚有改善空間，經現場溝通均能即時改正並獲致滿意結果)

• 不符合，建議採行措施：□補強下述相關訓練：；□再予評估；

□其他：

(授權五組三科科長決行)

評估者：審查主管：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述組織對建立ISMS要求：

1. 是否明確定義範圍、邊界、排除細節與理由？

2. 是否明確定義ISMS政策?

3. 是否明確定義風險評鑑方法?

4. 是否完成/更新各項風險?

5. 分析與評估各項風險?

6. 識別與評估風險處理之選項做法?

7. 選擇控制目標與控制措施?

8. 取得高階對殘餘風險之核准?

9. 取得管理階層對實作與操作ISMS之授權?

10. 擬定/修訂適用性聲明書(SoA)?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

評審員是否掌握下述要求：

1. 風險處理計畫及其內容之適當性?

2. 風險處理計畫經實作且達成安全目標？

3. 實施各項控制措施?

4. 控制措施經適切定義其量測方法？

5. 實施訓練與認知計畫?

6. 管理ISMS的作業?

7. 管理ISMS的資源?

8. 實作偵測安全事故與回應處理程序?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述組織對監控與審查ISMS要求：

11. 是否已執行監控程序？

12. 是否定期審查ISMS之有效性?

13. 是否量測控制措施之有效性?

14. 是否完成審查殘餘風險與可接受風險等級?

15. 已規劃內部稽核?(細節查核可併第6節)

16. 定期執行ISMS管理審查? (細節查核可併第7節)

17. 安全計畫是否適時更新?

18. 紀錄對ISMS有效性或績效有衝擊之活動與事件?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

3. 被稽核部門/權責人員：

4. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

評審員是否掌握下述要求：

9. 是否定期實施所識別之改進活動?

10. 與相關利害關係團體溝通相關措施與改進活動？

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述要求：

19. 文件/紀錄可展現所選擇之控制措施可回溯原先風險評鑑與風險處理過程之結果？

20. ISMS文件是否包含：

1. ISMS政策與目標?

2. ISMS範圍?

3. 支援ISMS之各項SOP及控制措施?

4. 風險評鑑方法之描述?

5. 風險評鑑報告?

6. 風險處理計畫?

7. 相關必要之SOP(例如:如何量測控制措施之有效性)?

8. 各項紀錄?

9. 適用性聲明書?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

5. 被稽核部門/權責人員：

6. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

評審員是否掌握下述要求：

11. 是否建立文件/紀錄管制程序書?

12. 抽樣相關文件/紀錄了解其管制措施之有效性？

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述要求：

21. 管理階層所提供之承諾之證據？

10. 建立ISMS政策?

11. 確保建立ISMS目標與計畫?

12. 建立角色與權責?

13. 向組織傳達ISMS之重要性?

14. 提供充分資源?

15. 決定承受風險與可接受風險等級的準則?

16. 確保執行ISMS內稽?

17. 執行ISMS管審?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

7. 被稽核部門/權責人員：

8. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

評審員是否掌握下述要求：

13. 組織是否確保有責任之人員皆有能力執行工作?

14. 查核相關訓練之規劃/評估與執行？

15. 查核教育/訓練/技巧/經驗及資格之紀錄?

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述要求：

1. 查核組織有無建立內稽方案(如年度計畫)與程序？稽核是否包含驗證登錄範圍內的各單位及權責區域，安排的單位/項目是否符合權責區分？

2. 查核內稽程序中對稽核權責、準則、範圍、頻率、方法、稽核員之資格/能力、稽核員之客觀性與獨立性及稽核結果之報告等相關作業規定。

3. 查核內稽有無依前述規定執行？

－稽核結果/報告之完整性(例如是否能涵蓋ISMS之SCOPE、部門及標準條文所有項目？先前稽核所發現缺失有無納入內稽計畫？)及有效性(ISMS能否有效符合政策與目標？能否有效符合標準及自定程序要求？)；

－稽核之缺失是否採取矯正與預防措施？後續有無跟催並確認其改善完成？

－稽核結果有無向管理階層報告？

－有無提交管理審查？

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

9. 被稽核部門/權責人員：

10. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

評審員是否掌握下述要求：

1. 組織有無建立管審程序或規劃文件？(標準僅要求應在規劃的期間內辦理管理階層審查)

2. 組織執行管審之時機/頻率能否符合？

3. 組織執行管審之輸入，是否包括下列：

1. 內稽之執行結果，

2. 來自利害相關團體之回饋，

3. 可用以改進組織ISMS績效及有效性之技術、產品或程序，

4. 預防與矯正措施之狀況，

5. 先前風險評鑑未提出之弱點或威脅，

6. 控制措施有效量測之結果

7. 先前管審之追蹤措施，

8. 可能影響ISMS的任何變更，

9. 改進之建議。

4. 管審輸出結果，是否包括下列項目：

1. ISMS有效性之改進，

2. 風險評鑑與處理計畫之更新，

3. ISMS流程之修訂，

4. 資源需求，

5. 控制措施如何量測之改進

(5)評審員有無在本局觀察報告針對組織管審之適用性、適切性及有效性，做一整結性的敘述(summary)？

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

評審員是否掌握下述要求：

1.評審員是否延續各該項目查核其相對之持續改善情形。

(1)「政策、目標」決議或待改善事項之持續改善

(2)「內部稽核」結果之持續改善

(3)「管理階層審查」結果之持續改善

(4)各類「事件監控分析」結果之持續改善

(5)「矯正及預防措施」之持續改善

PS.本項配合評鑑/追查計畫之安排，若無法查核上述所有項目時，可僅針對部份項目見證評估。

2.是否彙總管理審查及各項ISMS所展現之持續改進資料，作整體有效性之評估，並摘要於觀察報告中。

（評鑑案需查核上述各項，追查得抽樣）

□符合；□不符合。

摘述如下：

11. 被稽核部門/權責人員：

12. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

見證評估內容

查核結果

(下表不敷使用，請用觀察報告表)

□符合；□不符合。

摘述如下：

3. 被稽核部門/權責人員：

4. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：

□符合；□不符合。

摘述如下：

1. 被稽核部門/權責人員：

2. 評審員查核之文件、活動、區域、紀錄等具體事證之綜合摘述：