ISO27001 认证审核重点主要包括以下几个方面：

一、信息安全管理体系文件

完整性

审核人员会检查信息安全管理体系文件是否涵盖了 ISO27001 标准要求的所有要素，包括信息安全方针、目标、范围、组织架构、风险评估、控制措施、内部审核、管理评审等。

例如，确保有明确的信息安全管理手册，详细描述信息安全管理体系的整体架构和运作流程；各个程序文件和作业指导书能够支撑信息安全管理的各项具体活动。

符合性

审查文件内容是否符合 ISO27001 标准的要求，以及是否与企业的实际情况相适应。文件中的政策、流程和控制措施是否能够有效地保障信息安全。

比如，信息安全方针是否明确体现了对信息安全的承诺和重视；风险评估程序是否科学合理，能够准确识别和评估信息安全风险；控制措施是否针对风险进行了恰当的设计和实施。

有效性

评估信息安全管理体系文件在实际运行中的有效性。文件是否得到了有效的执行，是否能够指导企业的信息安全管理工作，实现信息安全目标。

例如，通过检查记录和实际操作，验证文件中规定的访问控制措施是否得到严格执行，员工是否按照信息安全政策进行日常工作。

二、风险评估与管理

风险评估过程

审核重点关注企业的风险评估方法是否科学、合理，是否涵盖了所有重要的信息资产和业务流程。风险评估是否定期进行，以确保能够及时识别新的风险。

例如，检查企业是否采用了适当的风险评估工具和技术，如定性风险评估、定量风险评估或两者结合；是否对不同类型的信息资产（如数据、软件、硬件、人员等）进行了全面的风险识别。

风险处理措施

审查企业针对识别出的风险所采取的处理措施是否适当。风险处理措施是否与风险的严重程度相匹配，是否能够有效地降低风险至可接受水平。

比如，对于高风险的信息资产，企业是否采取了严格的访问控制、加密等技术措施，以及加强员工培训和监控等管理措施；对于低风险的信息资产，是否采取了较为简单但有效的控制措施，如定期备份数据等。

三、信息安全控制措施

技术控制措施

审核人员会检查企业在技术方面采取的信息安全控制措施，如网络安全、系统安全、数据安全等。这包括防火墙、入侵检测系统、加密技术、访问控制、备份与恢复等措施的有效性。

例如，检查企业的网络架构是否合理，是否有足够的安全防护措施防止外部攻击；数据库是否进行了加密存储，以保护敏感数据的安全；信息系统是否有定期的备份计划，并且能够在发生灾难时快速恢复数据。

管理控制措施

评估企业在管理方面的信息安全控制措施，如人员管理、物理安全、安全培训、应急响应等。这些措施对于确保信息安全管理体系的有效运行至关重要。

比如，审查企业的人员招聘和离职流程是否包含信息安全审查环节；物理场所是否有适当的门禁、监控等安全措施；员工是否接受了定期的信息安全培训，了解信息安全政策和操作流程；企业是否制定了完善的应急响应计划，能够在发生安全事件时迅速采取有效的应对措施。

四、内部审核与管理评审

内部审核

审核重点关注企业内部审核的计划、实施和报告。内部审核是否按照预定的计划进行，审核人员是否具备足够的专业知识和独立性。内部审核是否能够发现信息安全管理体系中的问题，并提出有效的整改措施。

例如，检查内部审核计划是否涵盖了信息安全管理体系的所有要素和部门；审核报告是否详细记录了审核发现的问题、建议的整改措施和跟踪验证情况。

管理评审

审查企业管理评审的过程和结果。管理评审是否由最高管理者主持，是否对信息安全管理体系的有效性、适宜性和充分性进行了全面的评估。管理评审是否能够根据企业的内外部环境变化，提出信息安全管理体系的改进方向和决策。

比如，检查管理评审会议的记录和决策文件，了解企业对信息安全管理体系的战略规划和资源分配情况；评估管理评审是否能够及时调整信息安全方针和目标，以适应不断变化的信息安全需求。

五、法律法规合规性

法律法规识别

审核企业是否对与信息安全相关的法律法规进行了全面的识别和收集。企业是否了解适用的法律法规要求，并将其纳入信息安全管理体系中。

例如，检查企业是否建立了法律法规清单，包括国家的网络安全法、数据保护法等；是否对法律法规的变化进行了跟踪和更新。

合规性评估

评估企业对法律法规的合规性。企业是否制定了相应的政策和流程，确保信息安全管理活动符合法律法规的要求。审核人员会检查企业的合规性评估报告，了解企业在信息安全方面的合规情况。

比如，审查企业在个人信息保护、数据跨境传输等方面的合规措施；检查企业是否对信息安全事件进行了及时的报告和处理，以满足法律法规的要求。