유효한 감사 결론인 두 가지 진술은 다음과 같습니다.
*ISMS 정책이 조직에 효과적으로 전달되었습니다.
*조직의 ISMS 목표는 ISO/IEC 27001:2022의 요구 사항을 충족합니다. ISO 19011:2018에 따르면 감사 결론은 감사 목표와 모든 감사 발견 사항을 고려한 후 감사 팀이 제공하는 감사의 결과입니다1. 감사 결론은 감사 기준의 충족 여부에 따라 긍정적일 수도 있고 부정적일 수도 있습니다. 감사 결론에는 모범 사례의 개선이나 인정을 위한 권장 사항도 포함될 수 있습니다.
진술 D와 E는 감사 기준 및 발견 사항에 기초한 감사 결과를 표현하므로 유효한 감사 결론입니다. 예를 들어:
*진술 D는 ISMS 정책이 조직 및 관련 이해관계자에게 전달되어야 한다고 명시한 ISO/IEC 27001:2022의 5.2.2항 요구 사항을 조직이 충족했음을 나타내기 때문에 긍정적인 감사 결론입니다2. 감사팀은 의사소통 기록, 인식 활동, 피드백 등 이러한 결론을 뒷받침하는 충분하고 적절한 감사 증거를 확보해야 합니다.
*문장 E는 조직이 ISMS 정책과 일치하고 관련성이 있는 ISMS 목표를 수립해야 한다고 명시한 ISO/IEC 27001:2022의 6.2항 요구 사항을 조직이 충족했음을 나타내기 때문에 긍정적인 감사 결론입니다. 정보 보안 위험3. 감사팀은 목표 설정, 위험 평가, 정책 준수 기록 등 이러한 결론을 뒷받침하는 충분하고 적절한 감사 증거를 확보해야 합니다.
다른 진술은 감사 기준 및 발견 사항을 기반으로 한 감사 결과를 표현하지 않기 때문에 유효한 감사 결론이 아닙니다. 이는 오히려 감사 기준에 따라 수집된 감사 증거를 평가한 결과인 감사 결과의 예입니다4. 감사 결과는 감사 기준에 대한 적합성 또는 부적합 또는 개선 기회를 나타낼 수 있습니다. 예를 들어:
*진술 A는 조항의 요구 사항에 부적합함을 나타내기 때문에 부정적인 감사 결과입니다.
ISO/IEC 27001:2022의 7.2.2에는 조직이 자신의 통제하에 있는 사람에게 정보 보안 인식 교육 및 훈련을 제공해야 한다고 명시되어 있습니다5. 감사팀은 이러한 부적합 사항을 식별 및 문서화하고 이를 감사 대상자에게 보고해야 합니다.
*진술 B는 조항의 요구 사항에 부적합함을 나타내기 때문에 부정적인 감사 결과입니다.
ISO/IEC 27001:2022의 6.1.2에는 조직이 계획된 간격으로 또는 중요한 변경이 발생할 때 정보 보안 위험 평가를 유지하고 검토해야 한다고 명시되어 있습니다6. 감사팀은 이러한 부적합 사항을 식별 및 문서화하고 이를 감사 대상자에게 보고해야 합니다.
*진술 C는 조항의 요구 사항에 부적합함을 나타내기 때문에 부정적인 감사 결과입니다.
ISO/IEC 27001:2022의 10.1에는 조직이 부적합의 원인을 제거하고 재발을 방지하기 위한 조치를 취해야 한다고 명시되어 있습니다7. 감사팀은 이러한 부적합 사항을 식별 및 문서화하고 이를 감사 대상자에게 보고해야 합니다.
*진술 F는 조항의 요구 사항에 부적합함을 나타내기 때문에 부정적인 감사 결과입니다.
ISO/IEC 27001:2022의 6.1.3에는 조직이 위험 처리 계획을 구현하는 데 필요한 통제를 결정하고 이를 적용성 기술서에 문서화해야 한다고 명시되어 있습니다8. 감사팀은 이러한 부적합 사항을 식별하고 문서화하여 감사 대상자에게 보고해야 합니다.
참고 자료: 1: ISO 19011:2018, 3.15; 2: ISO/IEC 27001:2022, 5.2.2; 3: ISO/IEC 27001:2022, 6.2; 4: ISO
19011:2018, 3.14; 5: ISO/IEC 27001:2022, 7.2.2; 6: ISO/IEC 27001:2022, 6.1.2; 7: ISO/IEC 27001:2022,
10.1; 8: ISO/IEC 27001:2022, 6.1.3; : ISO 19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO
19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022

표를 완성하려면 완료하려는 빈 섹션을 클릭하여 빨간색으로 강조표시한 다음 아래 옵션에서 해당 테스트를 클릭하세요. 또는 각 옵션을 적절한 빈 섹션으로 끌어서 놓을 수도 있습니다.
참조:
[ISO 19011:2022 경영시스템 감사 지침]
[ISO/IEC 17021-1:2022 적합성 평가 - 경영 시스템의 심사 및 인증을 제공하는 기관에 대한 요구사항 - 1부: 요구사항]

감사 목표는 고객이나 인증 기관이 감사를 통해 달성하고자 하는 특정 목적 또는 목표입니다. 이는 감사가 달성하고자 하는 바를 정의하고 감사 계획 및 수행을 위한 기초를 제공합니다. 감사 목표는 감사 유형, 범위, 기준에 따라 달라질 수 있지만 명확하고 측정 가능하며 달성 가능해야 합니다.
제3자 ISMS 감사에 대한 감사 목표의 몇 가지 예는 다음과 같습니다.
* ISO/IEC 27001 요구 사항에 대한 적합성 평가: 이 목표는 조직의 ISMS가 정보의 확립, 구현, 유지 및 개선을 위한 모범 사례를 지정하는 ISO/IEC 27001 표준의 요구 사항을 충족하는지 확인하는 것이 감사의 목표임을 의미합니다. 보안 관리 시스템. 감사에서는 표준 조항 및 부록 A 통제와 비교하여 조직의 ISMS 문서, 프로세스, 통제 및 성과를 평가합니다.
* ISMS를 운영하는 현장 확인: 이 목표는 조직의 ISMS가 조직이 운영되거나 서비스를 제공하는 모든 관련 현장 또는 위치를 포괄하는지 확인하는 것이 감사의 목표임을 의미합니다. 감사에서는 ISMS의 범위가 정확하고 조직의 상황, 목표 및 위험과 일치하는지 확인합니다.
다른 문구는 감사 목표가 아니라 다음과 같습니다.
* 고객 프로세스 및 기능을 평가합니다. 이는 감사 목표가 아니라 가능한 감사 기준 또는 조직의 프로세스 및 기능이 충족해야 하는 요구 사항입니다. 감사 기준은 적합성 또는 부적합을 결정하기 위해 감사 증거를 비교하는 기준입니다. 감사 기준에는 ISO/IEC 27001 요구 사항, 고객 요구 사항 또는 기타 적용 가능한 표준이나 규정이 포함될 수 있습니다.
* 감사 계획 이행: 이는 감사 목적이 아니라 감사 기간 동안 감사인이 수행하는 업무 또는 활동입니다. 감사계획은 감사의 목적, 범위, 기준, 일정, 역할, 책임 등 감사의 준비와 세부사항을 기술한 문서이다. 감사인은 감사가 효과적이고 효율적으로 수행되도록 감사 계획을 따르고 이행해야 합니다.
* ISMS 범위 결정: 이는 감사 목적이 아니라 감사 수행을 위한 전제 조건 또는 입력입니다. ISMS의 범위는 조직 내 정보 보안 관리 시스템의 범위와 경계입니다. 이는 ISMS에 포함되거나 제외되는 프로세스, 활동, 위치, 자산 및 이해관계자를 정의합니다. ISMS의 범위는 인증을 신청하거나 감사를 받기 전에 조직에서 결정해야 합니다.
* 조직 효율성 검토: 이는 감사 목적이 아니라 감사 수행 시 발생할 수 있는 결과 또는 결과입니다. 조직 효율성은 조직이 목표와 목적을 달성하기 위해 자원을 얼마나 잘 사용하는지를 측정하는 것입니다. 감사는 정보 보안 관리 시스템의 강점, 약점, 기회 및 위협을 식별하여 조직 효율성을 검토하고 개선하는 데 도움이 될 수 있습니다.
참고자료:
* ISO/IEC 27001:2022 수석 감사자(정보 보안 관리 시스템) 목표 및 Quality.org 및 PECB의 내용
* ISO 19011:2018 감사 관리 시스템에 대한 지침 [5.3.1항]