理解与应用GB pdf下载

　　《<信息技术 安全技术 信息安全管理体系审核和认证机构要求>理解与应用 GB/T 25067-2020》的内容仅是针对GB／T25067-2020中的这些特定要求和指南，并不覆盖GB/T25067-2020所直接引用的GB/T27021.1-2017的内容。因此，该书的读者宜同时对GB/T27021.1-2017有一定的了解。
　　基于GB／T25067-2020的条款和管理体系认证机构的业务管理过程，该书共分为通用要求、资源过程、初次认证与保持认证等七章。每章分为若干节，每一节的内容按照“标准条文”“概要理解”和“评审提示”的结构进行展开，其中“概要理解”还进一步细分为“目的和意图”“关键词注释”和“要点与解释”三部分。

章标准的范围和规范性引用文件1

节标准的范围1

第二节标准的规范性引用文件4

第二章通用要求6

节公正性的管理6

第二节管理体系要求9

第三章资源过程14

节认证机构的能力管理过程14

第二节审核员的能力准则与选择21

第三节审核组长的能力准则与选择35

第四节申请评审人员能力准则38

第五节认证决定人员能力准则41

第四章认证前的活动44

节申请44

第二节审核方案48

……

　　随着各类组织对信息安全管理的日益重视，我国的信息安全管理体系（ISMS）认证市场近些年来得到了蓬勃发展。截至2019年12月，已有78家认证机构获得了国家认证认可监督管理委员会的批准，可以在中华人民共和国境内从事ISMS认证活动。这些机构累计共颁发了12694张ISMS认证证书。
　　GB／T25067-2020《信息技术安全技术信息安全管理体系审核和认证机构要求》（等同采用ISO／IEC27006：2015）规定了从事ISMS认证的认证机构的运作要求，以确保认证机构有能力并且以一致和公正的方式实施ISMS认证，从而促进国内外的相关方能够承认这些机构并接受它们所实施的ISMS认证。
　　借助承担GB／T25067标准修订任务（国家标准修订计划编号为20173851-T-469）的机会，中国合格评定国家认可委员会（CNAS）收集、整理了国内外对该标准的应用实践情况，组织相关人员编写了本书，以促进认证机构、认可机构、监管机构等相关方一致地理解和应用GB／T25067-2020。
　　GB／T25067-2020是在GB／T27021.1-2017《合格评定管理体系审核认证机构要求第1部分：要求》（等同采用ISO／IEC17021.1：2015）的基础上，针对ISMS审核和认证活动规定了特定的要求和指南。本书的内容仅是针对GB／T25067-2020中的这些特定要求和指南，并不覆盖GB／T25067-2020所直接引用的GB／T27021.1-2017的内容。因此，本书的读者宜同时对GB／T27021.1-2017有一定的了解。
　　基于GB／T25067-2020的条款和管理体系认证机构的业务管理过程，本书共分为通用要求、资源过程、初次认证与保持认证等七章。每章分为若干节，每一节的内容按照“标准条文”“概要理解”和“评审提示”的结构进行展开，其中“概要理解”还进一步细分为“目的和意图”“关键词注释”和“要点与解释”三部分。
　　为了突出内容的实用性，本书从读者应用标准的角度出发在内容编排和组织上做了如下安排：
　　一是将GB／T25067-2020的条款按照其所属的过程和（或）类别进行了重新组合和排序，以便于读者的学习和实际应用。重新组织后的标准条款，可以作为读者编制评审检查表时的参考。例如，本书把GB／T25067-2020中9.4.1、9.6.2.1.1、9.6.3.1和9.6.4.1中关于制定审核程序的条款，统一安排在第二章第二节的“二、管理体系文件”中进行集中介绍。
　　二是在书中给出了每个（组）条款的“要点与解释”和“评审提示”，以便读者理解和应用这些条款。围绕这些条款所叙述的某一特定主题，本书收集、整理了相关的其他国际标准和规范性文件，通过比较、分析和归纳相关的要求，便于读者对该主题有一个全面的认识。例如，针对“ISMS审核方法”，本书在第七章第一节的“二、审核方法”中，分别介绍了ISO／IEC27007：2020《信息技术安全技术信息安全管理体系审核指南》、ISO／IECTS27008：2019《信息技术安全技术信息安全控制评审指南》、IS019011：2018《管理体系审核指南》中与ISMS审核相关的内容。
　　三是本书附录提供了GB／T25067的应用状况和最新发展动态，这些信息有助于读者更深入地理解和应用GB／T25067。附录一提供了2009-2018年CNAS在ISMS认可评审中所开具的不符合的简要统计分析；附录二给出了国际标准化组织近期针对ISO／IEC27006：2015中的缺陷所提出的标准修改单。
　　在本书编制过程中，付志高负责编写本书的第一章、第三章、第六章、第七章和最终的统稿，方洁负责拟定全书框架和编写本书的第二章，张强负责编写本书的第四章和第五章。
　　本书得到了信息安全国家标准项目经费资助（项目编号：2017BZXD-WG7-003）和CNAS第四届信息安全认证专业委员会的技术支持。
　　本书既可以作为信息安全管理体系认证机构认可评审员的培训教材使用，也可供认可机构的项目管理人员、认证机构的内部审核员和相关管理人员学习时参考。
　　由于编著者水平所限，本书难免有错误或遗漏，恳请读者指正。