감사 관리 시스템에 대한 지침을 제공하는 ISO 19011:2018에 따르면 감사 프로그램은 특정 기간 동안 계획되고 특정 목적을 지향하는 하나 이상의 감사 세트입니다1. 감사 프로그램을 관리하는 개인은 조직의 정책과 목표1에 따라 감사 프로그램을 수립, 실행 및 유지할 책임이 있습니다. 여기에는 전략적 방향, 위험 및 기회를 기반으로 감사 프로그램의 범위를 정의하는 것이 포함됩니다. 목표, 범위 및 기준을 정의하여 감사 프로그램을 수립합니다. 감사 프로그램에 필요한 자원을 결정합니다. 유능한 감사자를 선정하고 적절한 감사에 배정합니다. 각 개별 감사의 목표, 범위 및 기준을 정의합니다. 각 개별 감사의 계획을 정의합니다. 감사 결과에 대한 문서화된 정보를 유지합니다. 감사 프로그램의 성과를 검토하고 개선합니다1. 따라서 이 6가지 조치는 감사 프로그램을 관리하는 개인의 책임의 일부입니다. 감사 중 피감사인과 의사소통하는 다른 옵션은 감사 프로그램을 관리하는 개인의 책임이 아니라 감사 팀 리더의 책임입니다1. 참고 자료: ISO 19011:2018 - 경영 시스템 감사 지침

ISO 27001:2022 조항 9.1.2에 따르면, 조직은 정보 보안 관리 시스템이 조직의 자체 요구사항, ISO 27001:2022의 요구사항을 준수하고 효과적으로 구현되고 있는지에 대한 정보를 제공하기 위해 계획된 간격으로 내부 감사를 실시해야 합니다. 유지12 ISO 27001:2022 10.1항에 따라, 조직은 부적합에 대응하고 해당되는 경우 이를 통제 및 수정하고 결과를 처리하기 위한 조치를 취해야 합니다. 조직은 또한 재발이나 발생을 방지하기 위해 부적합의 원인을 제거하기 위한 조치의 필요성을 평가해야 합니다.
조직은 필요한 모든 조치를 실행하고, 취해진 시정 조치의 효과성을 검토하고, 필요한 경우 정보 보안 관리 시스템을 변경해야 합니다.12 후속 감사는 이전 감사 이후에 수행되는 내부 감사의 한 유형입니다. 부적합 및 시정 조치가 해결 및 해결되었는지, 그리고 정보 보안 관리 시스템이 개선되었는지 여부12 따라서 후속 감사 계획을 준비하는 데 있어 다음 설명은 참입니다.
* Verification should focus on whether any action undertaken is complete. This means that the auditor should check whether the organisation has implemented all the planned actions to correct and prevent the nonconformities, and whether the actions have been documented and communicated as required12
* Verification should focus on whether any action undertaken has been undertaken effectively. This means that the auditor should check whether the organisation has achieved the intended results and objectives of the actions, and whether the actions have eliminated or reduced the nonconformities and their causes and consequences12 The following statements are false for preparing a follow-up audit plan:
* Verification should focus on whether any action undertaken has been undertaken efficiently. This is false because efficiency is not a criterion for verifying the actions taken to address the nonconformities and corrective actions. Efficiency refers to the optimal use of resources to achieve the desired outcomes, but it is not a requirement of ISO 27001:2022. The auditor should focus on the effectiveness and completeness of the actions, not on the efficiency12
* Corrections should be verified first, followed by corrective actions and finally opportunities for improvement. This is false because there is no prescribed order for verifying the corrections, corrective actions, and opportunities for improvement. The auditor should verify all the actions taken by the organisation, regardless of their sequence or priority. The auditor may choose to verify the actions based on their relevance, significance, or impact, but this is not a mandatory requirement12
* Opportunities for improvement should be verified first, followed by corrections and finally corrective actions. This is false because there is no prescribed order for verifying the opportunities for improvement, corrections, and corrective actions. The auditor should verify all the actions taken by the organisation, regardless of their sequence or priority. The auditor may choose to verify the actions based on their relevance, significance, or impact, but this is not a mandatory requirement12
* Corrective actions should be reviewed first, followed by corrections and finally opportunities for improvement. This is false because there is no prescribed order for reviewing the corrective actions, corrections, and opportunities for improvement. The auditor should review all the actions taken by the organisation, regardless of their sequence or priority. The auditor may choose to review the actions based on their relevance, significance, or impact, but this is not a mandatory requirement12 References:
1: ISO/IEC 27001:2022 Lead Auditor (Information Security Management Systems) Course by CQI and IRCA Certified Training 1 2: ISO/IEC 27001 Lead Auditor Training Course by PECB 2

후속 심사의 목적은 이전 심사에서 식별된 부적합 사항에 대해 피심사자가 취한 시정 조치의 완료 및 효율성을 확인하는 것입니다1. 후속 감사는 최초 감사 이후에 수행되는 감사 유형으로, 부적합 사항이 발견되고 시정 조치가 합의된 특정 영역에 중점을 둡니다2. 후속 감사는 부적합의 성격과 심각도 및 감사 프로그램 목표에 따라 별도의 감사로 수행되거나 예정된 감사의 일부로 수행될 수 있습니다3.
다른 옵션은 후속 감사의 목적이 아니라 오히려 다른 유형의 감사의 목적입니다. 예를 들어:
*옵션 A는 성과 감사의 목적으로, 의도한 결과를 달성하는 데 있어서 경영 시스템의 효율성을 평가하는 감사 유형입니다4.
*옵션 B는 ISMS 목표5와 같은 지정된 요구사항에 대한 경영 시스템의 적합성을 검증하는 감사 유형인 준수 감사의 목적입니다.
*옵션 C는 위험 처리 프로세스와 같은 관리 시스템 내 특정 프로세스의 입력, 활동, 출력 및 상호 작용을 검사하는 감사 유형인 프로세스 감사의 목적입니다.
참고 자료: 1: ISO 19011:2018, 6.7; 2: ISO 19011:2018, 3.7; 3: ISO 19011:2018, 5.5.2; 4: ISO 19011:2018,
3.6; 5: ISO 19011:2018, 3.5; : ISO 19011:2018, 3.4; : ISO 19011:2018; : ISO 19011:2018; : ISO 19011:2018: ISO 19011:2018; : ISO 19011:2018; : [ISO 19011:2018]

설명
정보 보안 관리 시스템(ISMS)의 수립, 구현, 유지 및 지속적인 개선을 위한 요구 사항을 명시한 ISO/IEC 27001:2022에 따르면, 5.2절에서는 최고 경영진이 정보 보안 설정을 위한 프레임워크를 제공하는 정보 보안 정책을 수립하도록 요구합니다. 목표1. 조항 6.2에서는 최고 경영진이 관련 기능 및 수준1에서 정보 보안 목표를 수립하도록 요구합니다. 따라서 정보 보안 정책과 목표가 최고 경영진에 의해 수립되었는지 확인할 때 ISMS 감사자는 최고 경영진의 참여와 의지를 보여주는 관련 문서와 기록을 검토해야 합니다.
모바일 장치 정책과 목표가 구현되고 효과적인지 확인하기 위해 ISMS 감사자는 정책과 목표가 어떻게 전달, 모니터링, 측정, 분석 및 평가되는지 보여주는 관련 문서와 기록을 검토해야 합니다. 감사자는 또한 정책에 명시된 통제 구현을 샘플링하고 검증해야 합니다.
모바일 장치 정책 및 목표 확인과 관련된 감사 추적에 대한 세 가지 옵션은 다음과 같습니다.
내부 감사 보고서를 검토하여 IT 부서가 감사를 받았는지 확인하세요. 이 옵션은 모바일 장치 및 보안 관리를 담당하는 IT 부서의 적합성과 효율성이 어떻게 평가되었는지에 대한 증거를 제공할 수 있기 때문에 관련이 있습니다. 모바일 장치 정책 및 목표를 구현하는 데 있습니다. 내부 감사 보고서는 모바일 장치 정책 및 목표와 관련된 모든 부적합 사항, 시정 조치 또는 개선 기회를 밝힐 수도 있습니다.
근무 중인 의료진으로부터 일부 모바일 장치를 샘플링하고 자산 등록부를 통해 모바일 장치 정보의 유효성을 검사합니다. 이 옵션은 처리 및 저장에 관여하는 의료진이 모바일 장치를 사용하는 방식에 대한 증거를 제공할 수 있기 때문에 관련이 있습니다. 주민정보는 자산등록부에 등록되어 물리적으로 보호됩니다. 이를 통해 모바일 장치 정책에 명시된 두 가지 제어 기능의 구현 및 효율성을 확인할 수 있습니다.
자산 등록부를 검토하여 모든 회사의 모바일 장치가 등록되었는지 확인하십시오. 이 옵션은 ISMS 범위 내에 있는 회사의 모바일 장치가 어떻게 식별되고 설명되는지에 대한 증거를 제공할 수 있기 때문에 관련이 있습니다. 이를 통해 모바일 장치 정책에 명시된 제어 중 하나의 구현 및 효율성을 확인할 수 있습니다.
감사 추적에 대한 다른 옵션은 정책이나 목표, 구현이나 효율성과 관련이 없으므로 모바일 장치 정책 및 목표를 확인하는 것과 관련이 없습니다. 예를 들어:
요양원에 들어가기 전에 리셉션 직원과 면담하여 모든 방문객과 직원의 가방이 확인되었는지 확인하십시오. 이 옵션은 모바일 장치 정책 및 목표가 어떻게 구현되거나 효과적인지에 대한 증거를 제공하지 않으므로 관련이 없습니다. 이는 물리적 보안이나 액세스 제어와 관련된 다른 정책이나 목표와 관련될 수 있지만 모바일 장치에만 국한되는 것은 아닙니다.
방문자 등록부를 검토하여 방문자가 요양원에 개인 휴대폰을 가지고 있을 수 없는지 확인하십시오. 이 옵션은 모바일 장치 정책 및 목표가 어떻게 구현되거나 효과적인지에 대한 증거를 제공하지 않으므로 관련이 없습니다. 이는 정보 보안 인식이나 규정 준수와 관련된 다른 정책이나 목표와 관련될 수 있지만 모바일 장치에만 국한되는 것은 아닙니다.
ISMS 정책을 인지하고 있는지 확인하기 위해 장치 공급업체를 인터뷰합니다. 이 옵션은 모바일 장치 정책 및 목표가 어떻게 구현되거나 효과적인지에 대한 증거를 제공하지 않으므로 관련이 없습니다. 이는 공급업체 관계 내의 정보 보안에 관한 다른 정책이나 목표와 관련될 수 있지만 특히 모바일 장치와 관련될 수는 없습니다.
최고 경영진과 인터뷰하여 정보 보안 정책 및 정보 보안 목표 수립에 참여했는지 확인합니다. 이 옵션은 모바일 장치 정책 및 목표가 어떻게 구현되거나 효과적인지에 대한 증거를 제공하지 않으므로 관련이 없습니다. 이는 최고 경영진이 정보 보안 정책 및 목표를 수립했는지 확인하는 것과 관련될 수 있지만 모바일 장치에만 해당되는 것은 아닙니다.
참고 자료: ISO/IEC 27001:2022 - 정보 기술 - 보안 기술 - 정보 보안 관리 시스템 - 요구 사항