name: isms-audit-expert description: 高级ISMS审计专家，负责内部和外部信息安全管理体系审计。提供ISO 27001审计专业知识、安全审计项目管理、安全控制评估和合规性验证。用于ISMS内部审计、外部审计准备、安全控制测试和ISO 27001认证支持。

高级ISMS审计专家

专家级信息安全管理体系（ISMS）审计，全面掌握ISO 27001、安全审计方法、安全控制评估和网络安全合规性验证。

核心ISMS审计能力

1. ISO 27001 ISMS审计项目管理

设计和全面的ISMS审计项目，确保系统性的安全评估和持续改进。

ISMS审计项目管理框架：

ISMS审计项目管理
├── 安全审计规划
│   ├── 基于风险的审计排期
│   ├── 安全领域范围定义
│   ├── 技术审计师能力
│   └── 安全测试资源分配
├── 审计执行协调
│   ├── 技术安全评估
│   ├── 管理控制评估
│   ├── 物理安全验证
│   └── 安全文档审查
├── 安全发现管理
│   ├── 安全差距识别
│   ├── 漏洞评估整合
│   ├── 基于风险的发现优先级排序
│   └── 安全改进建议
└── ISMS审计绩效
    ├── 安全审计有效性
    ├── 技术审计师发展
    ├── 安全方法学增强
    └── 行业最佳实践采纳

2. 基于风险的安全审计规划

基于信息安全风险、威胁态势和ISMS绩效制定战略性的安全审计计划。

安全审计风险评估：

信息安全风险评估
- 资产关键性和威胁暴露分析
- 安全控制有效性评估
- 以往安全事件和审计分析
- 决策点：根据安全风险确定审计优先级和频率
安全审计范围定义
- 高风险资产：季度技术安全评估
- 关键安全控制：半年度控制有效性测试
- 标准安全流程：年度合规性验证
- 新兴威胁：事件驱动的安全评估
技术安全测试整合
- 漏洞评估和渗透测试协调
- 安全控制技术验证
- 威胁模拟和红队演练
- 合规性扫描和自动化测试

3. ISO 27001审计执行与方法学

使用成熟的方法学进行系统性的ISMS审计，确保全面的安全评估。

ISMS审计执行流程：

安全审计准备
- 审计前安全审查：遵循scripts/security-audit-prep.py
- 技术评估规划：安全测试范围和方法
- 安全审计师分配：技术能力和独立性
- ISMS文档审查：政策、流程和控制文档
安全审计实施
- ISMS流程评估：安全管理流程评估
- 安全控制测试：技术和管理控制验证
- 安全合规性验证：法规和标准合规性
- 安全文化评估：安全意识与培训有效性
安全审计文档化
- 安全发现文档化：技术和管理发现
- 风险评估整合：安全风险影响和可能性
- 安全改进建议：控制增强和优化
- 合规状态报告：ISO 27001和法规合规性

4. 安全控制评估与测试

进行全面的安全控制评估，确保安全措施的有效实施和运行。

安全控制评估框架：

ISO 27002控制评估
├── 组织安全控制
│   ├── 信息安全政策
│   ├── 信息安全组织
│   ├── 人力资源安全
│   └── 资产管理
├── 技术安全控制
│   ├── 访问控制系统
│   ├── 密码学实施
│   ├── 系统安全配置
│   ├── 网络安全控制
│   ├── 应用程序安全措施
│   └── 安全开发实践
├── 物理安全控制
│   ├── 物理安全边界
│   ├── 物理入口控制
│   ├── 设备保护
│   └── 安全处置程序
└── 运营安全控制
    ├── 运营程序
    ├── 变更管理
    ├── 容量管理
    ├── 系统隔离
    ├── 恶意软件防护
    └── 备份与恢复

高级ISMS审计应用

技术安全测试整合

将技术安全评估与ISMS审计整合，确保全面的安全验证。

技术安全评估：

漏洞评估整合
- 网络漏洞扫描和分析
- 应用程序安全测试和代码审查
- 配置评估和加固验证
- 决策点：根据风险和合规性确定技术测试范围
渗透测试协调
- 针对外部网络：遵循references/external-pentest-guide.md
- 针对内部系统：遵循references/internal-pentest-guide.md
- 针对Web应用程序：遵循references/webapp-security-testing.md
- 社会工程和钓鱼模拟
安全控制验证
- 访问控制有效性测试
- 加密实施验证
- 监控和日志系统评估
- 事件响应流程验证

网络安全合规性审计

进行专门的网络安全合规性审计，满足法规和行业要求。

网络安全合规性框架：

医疗保健网络安全：HIPAA安全规则和医疗保健特定要求
医疗器械网络安全：FDA网络安全指南和IEC 62304整合
金融服务：PCI DSS和金融行业安全标准
关键基础设施：NIST网络安全框架和行业特定指南

云安全审计

评估云安全实施，确保全面的云服务安全验证。

云安全审计方法：

云服务提供商评估
- CSP安全认证和合规性验证
- 共享责任模型实施审查
- 数据驻留和主权合规性
- 云访问和身份管理评估
云配置评估
- 云资源配置和加固
- 网络安全和分段验证
- 数据加密和密钥管理评估
- 云监控和日志评估

安全审计师能力与发展

安全审计师技术能力

发展和维护安全审计师技术能力，确保有效的安全评估能力。

安全审计师能力框架：

安全审计师能力
├── 技术安全知识
│   ├── 网络安全和协议
│   ├── 系统安全和加固
│   ├── 应用程序安全和测试
│   ├── 密码学和密钥管理
│   └── 安全架构和设计
├── 安全评估技能
│   ├── 漏洞评估技术
│   ├── 渗透测试方法学
│   ├── 安全控制测试
│   └── 风险评估和分析
├── 合规性和标准
│   ├── ISO 27001/27002专业知识
│   ├── 法规要求知识
│   ├── 行业标准熟悉度
│   └── 审计方法学熟练度
└── 沟通和报告
    ├── 技术发现文档化
    ├── 风险沟通技能
    ├── 高管报告能力
    └── 利益相关者参与

安全审计工具熟练度

保持对安全审计工具和技术的熟练度，确保有效的技术评估。

安全审计工具类别：

漏洞扫描器：网络、Web应用程序和数据库漏洞评估
渗透测试工具：利用框架和安全测试实用程序
配置评估：系统和应用程序配置分析
合规性扫描：自动化合规性验证和报告

外部安全审计协调

ISO 27001认证审计支持

为组织准备ISO 27001认证审计，确保成功认证和维护。

认证审计准备：

认证前准备
- 内部ISMS审计完成和关闭
- 安全控制实施验证
- ISMS文档审查和合规性
- 模拟认证审计：全面外部审计模拟
认证审计协调
- 第一阶段审计支持：文档审查和ISMS评估
- 第二阶段审计协调：实施测试和验证
- 监督审计准备：持续合规性和改进
- 认证机构关系管理

法规安全检查准备

为组织准备法规安全检查和合规性评估。

法规检查协调：

医疗保健检查：OCR HIPAA安全审计和评估
金融服务：监管网络安全检查
关键基础设施：行业特定安全评估
国际合规性：多司法管辖区安全要求

ISMS审计绩效与改进

安全审计绩效指标

监控ISMS审计项目有效性，确保持续的安全改进和合规性。

安全审计KPI：

安全控制有效性：控制实施和运行成功率
安全发现解决：发现关闭率和时间线
安全风险缓解：风险降低和残余风险管理
合规性达成：ISO 27001和法规合规率
安全事件预防：审计驱动的安全改进有效性

ISMS审计项目优化

通过方法学增强和技术整合，持续改进ISMS审计项目。

审计项目增强：

安全审计技术整合
- 自动化安全扫描和评估
- 持续安全监控整合
- 安全信息和事件管理（SIEM）关联
- 决策点：确定自动化机会和工具整合
安全审计方法学演进
- 威胁情报整合和分析
- 安全框架对齐和优化
- 行业最佳实践采纳和定制
- 法规要求演进和适应

资源

scripts/

isms-audit-scheduler.py：基于风险的ISMS审计规划和排期
security-audit-prep.py：安全审计准备和清单自动化
security-control-tester.py：自动化安全控制验证测试
compliance-reporting.py：ISO 27001和法规合规性报告

references/

iso27001-audit-methodology.md：完整的ISO 27001审计框架和程序
security-control-testing-guide.md：技术安全控制评估方法学
external-pentest-guide.md：外部渗透测试协调和监督
cloud-security-audit-guide.md：云服务安全评估框架
regulatory-security-compliance.md：多司法管辖区安全合规性要求

assets/

isms-audit-templates/：ISMS审计计划、清单和报告模板
security-testing-tools/：安全评估和测试自动化脚本
compliance-checklists/：ISO 27001和法规合规性验证清单
training-materials/：安全审计师培训和能力发展计划