企业官网建设流程全解析

简介：CNAS-CC170《信息安全管理体系认证机构要求》PDF文档，面向信息安全管理体系（ISMS）认证机构从业人员、审核员、咨询顾问及备考CNAS认可的相关人士，用于理解认证机构在公正性、专业性和有效性方面的合规准则。文档共1个PDF文件，约955KB，完整收录2015年12月30日发布、2016年4月1日实施的CNAS-CC170:2015全文，共37页。内容涵盖前言、引言、范围、规范性引用文件、术语和定义、原则、通用要求、结构要求、资源要求、信息要求及过程要求等章节，其中通用要求涉及法律与合同事宜、公正性管理、责任和财力，资源要求细化到人员能力、外部审核员与外部技术专家使用、人员记录与外包管理，过程要求则覆盖认证前活动、策划审核、初次认证、实施审核、认证决定、保持认证、申诉与投诉等环节。目前已有500人学习，适合需要对照标准条款搭建认证流程、完善机构管理体系或开展内部培训的读者参考。

1. 从一份 37 页的认可准则说起：ISMS 认证机构到底被要求了什么

如果你正在准备 CNAS 对信息安全管理体系认证机构的认可评审，或者你所在的机构已经拿到了 ISO/IEC 27001 的认证资质、想进一步申请 CNAS 认可，那 CNAS-CC170:2015 这份文件就是你绕不开的核心依据。它只有 37 页，但每一页都是实打实的约束条款。很多人第一次翻的时候觉得“这不就是 ISO/IEC 27006 的中文版吗”，但真正做体系文件对照、准备评审材料的时候才会发现，这份文件在人员能力、审核时间计算、多场所抽样这几个点上，给出的要求比想象中细得多。它解决的核心问题是：一个认证机构要证明自己有能力、有公正性、有资源去开展 ISMS 认证，具体要满足哪些条件。适合谁看？认证机构的体系负责人、技术负责人、审核员管理人员，以及正在做 CNAS 认可申请准备的质量经理。

2. 人员能力要求拆解：从审核员到认证决定人员的四级能力矩阵

2.1 为什么人员能力是 CNAS-CC170 里最容易被开不符合项的地方

CNAS-CC170 的第 7 章“资源要求”是整个文件里篇幅最长、条款最密的章节之一。从 7.1 到 7.5，覆盖了人员能力、参与认证活动的人员、外部审核员和技术专家、人员记录、外包五个维度。其中 7.1 人员能力又细分为通用能力要求、能力准则的确定、实施 ISMS 审核的能力要求、领导审核组的能力要求、实施申请评审的能力要求、复核审核报告并做出认证决定的能力要求。

为什么这一章容易出问题？因为很多认证机构在申请认可时，人员能力矩阵是“事后补”的——先有人，再去套要求。但 CNAS-CC170 的逻辑是反过来的：你先要有一份基于认证职能的能力准则，然后对照准则去验证每个人是否满足。评审员在现场会直接调取人员档案，逐条对照 7.1.2 里的知识要求，看你的能力准则有没有覆盖、验证记录有没有闭环。

常见做法是建一张能力矩阵表，横轴是认证职能（申请评审、审核组、审核组长、认证决定），纵轴是 CNAS-CC170 各条款要求的知识领域，每个交叉点标注“满足/不满足/待验证”以及证据来源。这张表不是给评审员看的装饰品，而是你内部人员管理的实际工具。

2.2 审核组整体能力与个人能力的区分逻辑

CNAS-CC170 在 7.1.2.1.1 里有一个非常关键的设计：某些知识要求是“审核组所有成员作为一个整体”应具备的，而另一些是“每个审核员”都必须满足的。这个区分直接决定了你组建审核组时的搭配策略。

具体来说，7.1.2.1.1 列出了五项能力：

• a) 信息安全的知识
• b) 与受审核的活动相关的技术知识
• c) 管理体系的知识
• d) 审核原则的知识
• e) ISMS 监视、测量、分析和评价的知识

其中 b) 可以在审核组成员之间共享，也就是说，如果审核组里有一个人具备被审核方所在行业的技术知识，整个审核组在这个维度上就算满足。但 a)、c)、d)、e) 是每个审核员都必须具备的。

再看 7.1.2.1.2，信息安全管理术语、原则、实践和技术方面，审核组整体应具有 a) 到 e) 五项知识，但“每个审核员应满足 a)、c) 和 d)”。这意味着 ISMS 特定文件的结构层级关系、信息安全风险评估和风险管理、ISMS 适用的过程，这三项是审核员的个人硬门槛。

这种“整体+个人”的双层设计，在实际操作中意味着你不能简单地把几个审核员的简历堆在一起就宣称满足要求。你需要有一份审核组能力评估记录，明确标注哪些能力由谁提供、哪些是全员满足。

2.3 从审核员到审核组长：3 次完整审核经历怎么算

7.2.1.1 给出了选择审核员的具体准则，其中量化指标很明确：

• 信息技术方面至少 4 年全职实际工作经历
• 其中至少 2 年来自与信息安全有关的职责或职能
• 成功完成至少 5 天的 ISMS 审核和审核管理培训
• 在被赋予审核员责任之前，参与最少 4 次、总天数至少 20 天的 ISMS 认证审核（其中最多 5 天可来自监督审核）

而 7.2.1.2 对审核组长的额外要求是：已经积极参与过 3 次 ISMS 审核的所有阶段。注意这里的措辞是“所有阶段”，包括初次的范围识别与策划、评审文件与风险评估、评估实施情况、正式报告审核情况。

这里有一个容易翻车的地方：很多人把“参与审核”理解为“跟着去现场就行”。但 CNAS-CC170 明确要求参与审核时应包括评审文件与风险评估、评估实施情况和报告审核情况。也就是说，如果一个人只是去现场做见证，没有参与文件评审和报告编写，这段经历在评审时可能不被认可。

我一般会建议机构建一份审核员经历跟踪表，每次审核后由审核组长确认该人员实际参与的阶段，并签字。这张表在 CNAS 评审时就是最直接的证据。

2.4 认证决定人员的能力要求常被低估

7.1.2.4 专门规定了复核审核报告并做出认证决定的人员应具备的知识。这一条经常被忽略，因为很多机构觉得“认证决定就是走个流程，找个老审核员签个字就行”。但 CNAS-CC170 的要求是具体的：

• 应具备 7.1.2.1.2 中 a)、c)、d) 所列的知识，即 ISMS 特定文件的结构层级和相互关系、信息安全风险评估和风险管理、ISMS 适用的过程
• 应具备与信息安全相关的法律法规要求
• 应具备认证过程中所用的相关 ISMS 标准和其他规范性文件的知识
• 应具备与相关业务领域实践有关的通用术语和风险
• 应具备客户的产品、过程、组织类型、规模、治理、结构、职能和关系的知识

这意味着认证决定人员不能是纯粹的“行政签字岗”，他需要有实质性的技术判断能力。在实际操作中，我见过有的机构让技术负责人兼任认证决定人员，这是比较稳妥的做法，因为技术负责人通常本身就满足这些知识要求。

3. 审核时间计算与多场所抽样：附录 B 和 9.1.5 的实操拆解

3.1 附录 B 的审核时间表怎么用

CNAS-CC170 的附录 B 是规范性附录，这意味着它不是参考建议，而是必须遵循的要求。附录 B 给出了 ISMS 认证审核时间的计算框架，核心逻辑是基于被审核组织的员工人数和 ISMS 范围的复杂程度来确定初次认证审核的人天数。

使用附录 B 时需要注意几个关键点：

第一，审核时间包括从审核准备到报告完成的全过程，不仅仅是现场审核天数。9.1.4.1 明确说“总审核时间的计算，应包括报告审核情况所需的充足时间”。

第二，附录 B 给的是基准值，实际审核时间需要根据组织的复杂程度、技术环境、信息安全风险状况等因素进行调整。调整的理由和幅度需要记录在审核方案中。

第三，监督审核和再认证审核的时间不能简单按初次审核的比例来算。附录 B 对不同类型的审核给出了不同的计算规则。

常见做法是建一张审核时间计算表，输入员工人数、场所数量、ISMS 范围复杂度等参数，输出初次审核、监督审核、再认证审核的建议人天数，然后由技术负责人根据实际情况调整并签字确认。

3.2 多场所抽样的条件与抽样方案设计

9.1.5 多场所抽样是 CNAS-CC170 里技术含量最高的部分之一。不是所有多场所组织都能用抽样方式审核，必须先满足三个前提条件：

• 所有场所在同一 ISMS 下运行，并接受统一的管理、内部审核和管理评审
• 所有场所都包含在客户的 ISMS 内部审核方案中
• 所有场所都包含在客户的 ISMS 管理评审方案中

这三个条件是“与”的关系，缺一不可。如果客户的多场所之间没有统一的管理体系，那就不能抽样，必须逐个审核。

满足条件后，抽样方案的设计需要考虑 9.1.5.1.2 列出的 13 个因素，包括总部及其他场所的内部审核结果、管理评审结果、场所规模差异、业务目的差异、信息系统复杂程度、工作实践差异、所实施活动的差异、控制设计与运行的差异、与关键信息系统的潜在交互、不同法律要求、地域和文化因素、场所风险状况、发生在特定场所的信息安全事件。

实际操作中，我会建议用一张打分表来量化这些因素，每个场所按各因素打分，然后根据总分排序，确保抽样覆盖高风险场所。同时要保留随机因素，不能完全按分数高低来选。

还有一个硬性要求：在授予认证之前，认证机构应审核 ISMS 中每个具有重大风险的场所。这意味着即使某个场所规模很小，如果它承载了重大风险，就不能被抽样跳过。

3.3 审核方案三年覆盖的排期逻辑

9.1.5.1.2 e) 要求审核方案要在三年内覆盖 ISMS 认证范围内的代表性样本。这意味着多场所认证的审核方案不是每次审核独立设计的，而是一个三年周期的滚动计划。

设计这个排期时，需要把初次认证审核、第一次监督审核、第二次监督审核、再认证审核作为一个整体来考虑。初次认证审核通常覆盖总部和一定数量的场所，后续监督审核逐步覆盖剩余场所，确保三年内所有代表性样本都被审核到。

这里有一个容易踩的坑：如果客户在三年内新增了场所，审核方案需要及时更新，把新场所纳入抽样范围。不能因为“三年计划已经定了”就忽略新增场所。

4. 避坑指南：CNAS-CC170 落地过程中最常见的五个问题

4.1 问题一：能力准则照搬模板，与实际认证职能脱节

现象：评审时被评审员指出能力准则文件与实际人员岗位不对应，某些认证职能没有对应的能力准则。

原因：很多机构直接从网上下载一份能力准则模板，改个名字就用。但 CNAS-CC170 要求的是“为每项认证职能确定能力准则”，你的认证职能有哪些，能力准则就要覆盖哪些。如果机构还开展了其他管理体系的认证业务，ISMS 相关的能力准则需要单独识别。

解决：先梳理清楚机构的认证职能清单（申请评审、审核组选择、审核实施、认证决定、申诉处理等），然后逐项对照 CNAS-CC170 第 7 章的要求，建立职能与能力要求的映射表。每个职能的能力准则要有条款依据。

4.2 问题二：审核员经历记录不完整，无法证明满足 4 次 20 天的要求

现象：CNAS 评审时要求提供某审核员的审核经历证明，发现只有审核计划表，没有记录该审核员实际参与了哪些阶段。

原因：日常管理中没有建立审核员经历跟踪机制，审核结束后只归档了审核报告，没有单独记录每个审核员的参与情况。

解决：建立审核员经历跟踪表，每次审核结束后由审核组长填写，记录每位审核员参与的具体阶段（文件评审、风险评估评审、现场审核、报告编写等）和天数，并签字确认。这张表要作为人员记录的一部分归档保存。

4.3 问题三：审核时间计算没有考虑报告编写时间

现象：评审员发现审核计划中的人天数只覆盖了现场审核，没有包含审核报告编写的时间。

原因：对 9.1.4.1 的理解不到位，把“审核时间”等同于“现场审核时间”。

解决：在审核时间计算表中明确区分现场审核时间和报告编写时间，总审核时间要包括两者。报告编写时间可以根据审核的复杂程度和审核组的经验水平来估算，但必须有明确的依据。

4.4 问题四：多场所抽样方案没有考虑所有 13 个因素

现象：评审员检查多场所抽样记录时，发现抽样方案只考虑了场所规模和地理位置，没有考虑信息系统复杂程度、信息安全事件等因素。

原因：对 9.1.5.1.2 b) 列出的 13 个因素理解不全面，或者为了简化操作只选了容易量化的几个因素。

解决：制作一份多场所抽样评估表，把 13 个因素全部列入，每个场所逐项打分或描述。即使某些因素在该项目中不适用，也要标注“不适用”并说明理由，而不是直接跳过。

4.5 问题五：认证决定人员的能力验证记录缺失

现象：评审员要求提供认证决定人员满足 7.1.2.4 能力要求的证据，机构只能提供任命书，没有能力验证记录。

原因：认为认证决定人员通常是资深审核员，能力自然满足，不需要单独验证。

解决：把认证决定人员纳入人员能力矩阵，对照 7.1.2.4 的各项知识要求逐条验证。验证方式可以包括：审核经历审查、培训记录、面试记录、见证评审等。验证结果要形成书面记录，由技术负责人确认。

5. 从文件对照到现场评审：一份可复用的 CNAS-CC170 自查清单

5.1 条款对照表的建立方法

在正式迎接 CNAS 评审之前，我建议做一次完整的条款对照自查。具体做法是：把 CNAS-CC170 的每一条要求拆解成可检查的条目，然后逐条对照机构的体系文件、记录和实际运行情况，标注“满足/部分满足/不满足”。

这份对照表不需要很复杂，用电子表格就能做。列包括：条款号、条款要求摘要、对应体系文件、对应记录、检查结果、备注。关键是“对应记录”这一列，不能只写文件名，要写到具体的记录编号或档案位置，这样评审时可以直接调取。

对于“部分满足”和“不满足”的条目，要制定整改计划，明确责任人和完成时间。整改完成后更新检查结果。

5.2 现场评审前重点核查的五个方面

根据 CNAS-CC170 的要求和实际评审经验，现场评审前建议重点核查以下五个方面：

这五个方面是 CNAS 评审中高频出现不符合项的区域，提前自查可以大幅降低现场评审的风险。

5.3 一个具体技巧：用审核方案串联所有要求

CNAS-CC170 的要求虽然分散在第 5 章到第 10 章，但在实际操作中，很多要求最终都汇聚到“审核方案”这个载体上。审核方案里体现了审核时间计算、审核组能力配置、多场所抽样策略、审核范围确认等关键信息。

我的习惯是：把审核方案作为体系运行的核心文档来管理，每次审核前更新，审核后归档。审核方案里要能追溯到 CNAS-CC170 的具体条款依据，比如“本次审核时间计算依据附录 B 表 B.1，调整因素见附件”“本次多场所抽样依据 9.1.5.1.2，评估表见附件”。

这样做的另一个好处是，当评审员问“你们怎么确保满足 9.1.5 的要求”时，你可以直接拿出审核方案，翻到抽样评估表那一页，逐项解释。比临时找记录要从容得多。

从那以后我每次帮机构做 CNAS-CC170 的迎审准备，都会强制走一遍“条款拆解→对照检查→审核方案串联”的流程，没有例外。希望帮到你。

本文还有配套的精品资源，点击获取