資訊安全管理系統稽核之目的在於：「用以獲得做為資訊安全管理系統的一組政策、執行活動、一組輸入轉換成輸出過程中產生的相互關連與交互作用的活動（簡稱過程）或所規定之方法（簡稱程序），或要求有關並能夠查證與確認的敘述所達成的結果或是提供所執行活動之文件、事實陳述或其他有意義的資料（或稱為稽核證據），同時對它作客觀的評估來決定資訊安全管理系統作為一組政策、過程、程序之系統，所滿足之獨立之程度與文件化之過程。」為了達成前述的過程，一般而言，稽核工作可分為：

u 第一者稽核：又稱為內部稽核，是由組織本身或其代表為內部目的所執行，並可作為組織的自我滿足要求聲明之基礎。

u 第二者稽核：外部稽核之一，是由對組織的績效或成效有利害關係的個人或團體。

u 第三者稽核：外部稽核之一，是由外部獨立服務機構（驗證機構）所執行，其機構提供驗證或符合要求登錄資格。

這三種不同的稽核在資訊安全管理系統之比較，如下表4-8：

圖表4-8 三種不同的稽核在資訊安全管理系統之比較

第一者稽核

第二者稽核

第三者稽核

稽核重點

有效性與符合性並重

有效性與符合性並重

符合性為主，有效性為輔

稽核角度

察之於內

內外均兼顧

察之於外

所需知識

資訊安全管理與資訊安全稽核為主，資訊安全工程為輔

資訊安全管理與資訊安全工程核為主，資訊安全稽核為輔

資訊安全管理與資訊安全稽核為主，資訊安全工程為輔

所需技能

資訊安全管理為主，資訊安全工程與資訊安全稽核為輔

資訊安全工程為主，資訊安全管理與資訊安全稽核為輔

資訊安全管理為主，資訊安全稽核為輔

資料來源：[10]

這三種不同的稽核工作及認證與驗證體系之關係

稽核工作之優劣關係著資訊安全管理系統執行之成效，第三者稽核更是資訊安全管理系統驗證工作的基礎。在台灣，於國家資通安全會報的要求下，政府機關開始展開資訊安全管理系統的驗證。因此，如何規範資訊安全管理系統之第三者稽核的訓練課程、登錄機制與定期永續發展之要求等，已是面對國際接軌所必須解決的問題。另一方面，除了資訊安全管理系統之第三者稽核之外，第一者稽核與第二者稽核之訓練課程宜早做規劃。　　

3