組織應在規劃的期間內進行資訊安全管理系統之內部稽核，以決定其資訊安全管理系統之控制目標、控制措施、過程及程序是否：
符合本國際標準及相關法律或法規的要求；
符合所鑑別的資訊安全要求；
有效的實施與維持；
如預期進行。
稽核計畫應加以規劃，考慮受稽核的過程與區域之狀況及重要性，以及先前稽核的結果。稽核準則、範圍、頻率及方法應加以界定。稽核員的選擇與稽核的執行，應確保稽核過程的客觀性與公正性。稽核員不應稽核其本身的工作。
規劃與執行稽核，以及報告結果與維持紀錄之職責與要求，應以文件化程序加以界定。
受稽核區域負責之管理階層，應確保所採行的措施沒有不當延誤，以消除所發現之不符合與其原因。跟催活動應包括所採行措施之查證與查證結果的報告。
資料來源：
經濟部標準檢驗局
| 2 |
| |
 
|
