路径: 主页 > GB/T > 第207页 > GB/T 25067-2020 | 标准编号 | GB/T 25067-2020 (GB/T25067-2020) | | 中文名称 | 信息技术 安全技术 信息安全管理体系审核和认证机构要求 | | 英文名称 | Information technology - Security techniques - Requirements for bodies providing audit and certification of information security management systems | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 41,471 | | 发布日期 | 2020-04-28 | | 实施日期 | 2020-11-01 | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | GB/T 25067-2020: 信息技术 安全技术 信息安全管理体系审核和认证机构要求
GB/T 25067-2020 英文名称: Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems
1 范围
本标准在GB/T 27021.1-2017和GB/T 22080-2016的基础上,对实施ISMS审核和认证的机构
规定了要求并提供了指南。本标准的主要目的是为ISMS认证机构的认可提供支持。
任何提供ISMS认证的机构,需要在能力和可靠性方面证实其满足本标准中的要求。本标准中的
指南提供了对这些要求的进一步解释。
注:本标准可以作为认可、同行评审或其他审核过程的准则性文件。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 22080-2016 信息技术 安全技术 信息安全管理体系 要求(ISO/IEC 27001:2013,
IDT)
GB/T 27021.1-2017 合格评定 管理体系审核认证机构要求 第1部分:要求(ISO/IEC 17021-1:
2015,IDT)
ISO/IEC 27000 信息技术 安全技术 信息安全管理体系 概述和词汇
3 术语和定义
GB/T 27021.1-2017和ISO/IEC 27000界定的以及下列术语和定义适用于本文件。
3.1
认证文件
表明客户的ISMS符合指定的ISMS标准及ISMS所要求的任何补充性文件的一类文件。
4 原则
GB/T 27021.1-2017中第4章的原则适用。
5 通用要求
5.1 法律与合同事宜
GB/T 27021.1-2017中5.1的要求适用。
5.2 公正性的管理
GB/T 27021.1-2017中5.2的要求适用。并且,以下要求和指南适用。
5.2.1 IS5.2利益冲突
认证机构可以从事以下工作,不会被视为咨询或具有潜在的利益冲突:
a) 安排培训课程并参与讲授。如果这些课程涉及信息安全管理、有关的管理体系或审核时,认证
机构应仅限于提供可公开获取的通用信息和建议,即认证机构不应针对具体公司提供那些违
反下面b)要求的建议。
b) 根据请求,提供或发布认证机构对认证审核标准要求的解释性信息(见9.1.3.6)。
c) 审核前活动,仅以确定认证审核是否就绪为目的,但是这些活动不应导致提供违反本条款的建
议和意见。认证机构应能够证实这些活动不违反本条款的要求,且没有把这些活动作为减少
最终认证审核时间的理由。
d) 按照认可范围之外的标准或法规,实施第二方审核或第三方审核。
e) 在认证审核和监督审核过程中的增值活动,例如在审核过程中,当改进机会明显时,识别改进
机会但不推荐具体的解决方案。
认证机构不应为客户寻求认证的ISMS提供内部信息安全评审。此外,认证机构应独立于提供
ISMS内部审核的机构(包括任何个人)。
5.3 责任和财力
GB/T 27021.1-2017中5.3的要求适用。
6 结构要求
GB/T 27021.1-2017中第6章的要求适用。
7 资源要求
7.1 人员能力
GB/T 27021.1-2017中7.1的要求适用。并且,以下要求和指南适用。
7.1.1 IS7.1.1总体考虑
7.1.1.1 通用的能力要求
认证机构应确保其具备与所评估的客户ISMS有关的、最新的技术知识和法律法规知识。
认证机构应按照GB/T 27021.1-2017的表A.1为每项认证职能确定能力要求。认证机构应考虑
GB/T 27021.1-2017规定的以及7.1.2和7.2.1中所规定的、与认证机构所确定的ISMS技术领域相关
的所有要求。
7.1.2 IS7.1.2能力准则的确定
7.1.2.1 实施ISMS审核的能力要求
7.1.2.1.1 总体要求
认证机构应有验证审核组成员的背景经验、......
|