控制措施、审计与认证

选择框架是容易的部分。真正困难的是实施控制措施，然后通过审计证明其有效，并在要求的情况下取得认证。

本课介绍实践过程：控制措施在实际中是什么样、审计师期望哪些证据、审计流程如何进行，以及证书意味着什么和不意味着什么。

根据降低风险的方式，控制措施可分为三类：

• 预防性 — 阻止事件发生（MFA、防火墙、最小权限）。
• 检测性 — 发现正在发生或已经发生的事件（日志记录、SIEM 警报、文件完整性监控）。
• 纠正性 — 在事件发生后恢复并限制损害（备份、打补丁、事件响应）。

健全的方案会将三者分层组合；只依赖预防会在预防失效时一无所知。

控制措施还可以按照其性质分类：

• 管理性 — 政策、程序、培训、访问审查。
• 技术性 — 在技术中实施的措施：加密、访问控制、日志记录。
• 物理性 — 锁具、门禁读卡器、安全设施。

审计师会检查三方面是否都得到覆盖。一个无人遵循的政策所削弱的完美技术控制，并不是真正有效的控制措施。

审计师从两个维度评估控制措施：

• 设计有效性 — 如果按预期运行，该控制措施是否能够应对风险？
• 运行有效性 — 它是否确实能够在一段时间内持续有效地运行？

控制措施在纸面上设计得很好，但在运行中可能失败（例如，实际上没有人执行的日志审查）。证据必须同时证明这两点。

审计以证据为基础。您必须针对每项控制措施证明其在运行。典型证明材料包括：

• 显示每季度重新认证的访问审查记录。
• 证明已调查警报的日志和工单。
• 显示已强制启用加密或 MFA 的配置导出文件。
• 培训完成记录。

审计师会抽样。他们选取一项控制措施，要求提供一段时间内的证明，并端到端追溯。

审计分为两个层次：

• 内部审计 — 您（或聘用的内部审计师）审查自己的 ISMS，以便在外部审计前发现缺口。ISO 27001 要求进行内部审计。
• 外部/认证审计 — 经认可的独立机构评估您是否符合认证要求。

内部审计是一次演练。先发现自己的不符合项，远比让认证机构发现它们节省成本。

ISO 27001 认证分为两个阶段：

• 第 1 阶段 — 文档审查。审计师检查您的 ISMS 文档、范围、政策、风险评估和适用性声明是否存在且相互一致。
• 第 2 阶段 — 实施审计。审计师通过访谈、证据抽样和观察，核实控制措施是否确实在运行。

通过两个阶段后，您将获得证书；证书通常有效三年，并接受持续监督审计。

审计会产生审计发现，并根据严重程度分级：

• 重大不符合项 — 控制措施缺失或存在根本性失效；修复前无法获得认证。
• 轻微不符合项 — 不会破坏整个体系的疏漏；需要制定纠正措施计划。
• 观察项/改进机会 — 仅供建议，不构成不通过。

您需要提交纠正措施计划：根本原因、修复措施以及防止再次发生的措施。

认证并非永久有效。ISO 27001 证书按以下周期运行：

• 监督审计 — 通常每年进行，检查较轻量，用于确认 ISMS 仍在运行。
• 再认证审计 — 全面重新评估，通常每三年进行一次。

这能确保 ISMS 持续运转。若在审计之间让控制措施失效，您可能会在下一次监督访问时失去证书。

成熟的团队通过追求持续合规来避免审计前的紧张忙乱：自动收集证据，并让控制措施始终做好接受审计的准备。

• 按计划自动收集证据（访问权限审查、配置快照）。
• 实时监控控制措施偏移，例如某个 S3 存储桶被设为公开。
• 将合规视为持续状态，而不是年度项目。

这也是 SOAR 和合规自动化工具发挥价值的地方：它们将特定时点的审计转变为持续保障。

有时，某项必需的控制措施确实无法按原定方式实施，例如旧系统不支持 MFA。各类框架允许采用补偿性控制措施：以替代方案实现相同的风险目标。

• 记录原控制措施不可行的原因。
• 说明替代方案（例如严格的网络隔离，加上对旧系统进行强化监控）。
• 证明该方案能将风险降低到等同水平。

当理由和等同的风险降低效果都有清晰证据支持，而不只是口头声称时，审计人员会接受补偿性控制措施。

请从审计人员的视角分析控制措施的有效性。

控制措施、审计与认证：

• 按功能划分，控制措施可以是预防性、侦测性或纠正性；按性质划分，可以是管理、技术或物理控制措施，应将它们分层组合使用。
• 审计人员会评估设计有效性和运行有效性，而评估运行情况需要一段时期内的证据。
• 内部审计会在外部认证审计之前发现缺口；外部认证审计分为阶段 1（文档）和阶段 2（实施）。
• 审计发现包括重大和轻微不符合项以及观察项；请通过纠正措施计划作出响应。
• 证书需要接受监督审核和再认证审核；请持续推进合规，以始终做好接受审计的准备。