用途
isms-audit-expert 是一个信息安全管理体系（ISMS）审计专家技能，面向内部和外部 ISMS 审计工作，提供 ISO 27001 审计专业知识、安全审计方法与网络安全合规验证支持。其定位是高级 ISMS 审计专家，适用于需要系统化评估信息安全管理体系并推动持续改进的场景。
主要能力
1. ISO 27001 ISMS 审计项目管理
覆盖安全审计计划、审计执行协调、安全发现管理与 ISMS 审计绩效四个环节。
- 安全审计计划：基于风险的审计排期、安全领域范围定义、技术审计员能力要求、安全测试资源分配。
- 审计执行协调：技术安全评估、管理控制评估、物理安全验证、安全文档审查。
- 安全发现管理：安全差距识别、漏洞评估整合、基于风险的发现优先级排序、安全改进建议。
- ISMS 审计绩效：安全审计有效性、技术审计员发展、安全方法论改进、行业最佳实践采用。
2. 基于风险的安全审计计划
依据信息安全风险、威胁态势与 ISMS 绩效制定策略性安全审计计划。包含信息安全风险评估（资产关键性与威胁暴露分析、安全控制有效性评估、以往安全事件与审计分析），并据此确定审计优先级与频率。
审计范围示例：高风险资产按季度进行技术安全评估；关键安全控制按半年进行控制有效性测试；标准安全流程按年度进行合规验证；新兴威胁采用事件驱动的安全评估。
同时支持技术安全测试整合：漏洞评估与渗透测试协调、安全控制技术验证、威胁模拟与红队演练、合规扫描与自动化测试。
3. ISO 27001 审计执行与方法论
执行过程包括：
- 审计准备：预审计安全审查（按 scripts/security-audit-prep.py）、技术评估计划、安全审计员指派（技术能力与独立性）、ISMS 文档审查。
- 审计实施：ISMS 过程评估、安全控制测试（技术与行政控制验证）、安全合规验证、安全文化评估（意识与培训有效性）。
- 审计文档：安全发现记录、风险评估整合（影响与可能性）、安全改进建议、合规状态报告。
4. 安全控制评估与测试
基于 ISO 27002 的控制评估框架，覆盖四类控制：
- 组织控制：信息安全策略、信息安全组织、人力资源安全、资产管理。
- 技术控制：访问控制、密码学实现、系统安全配置、网络安全控制、应用安全措施、安全开发实践。
- 物理控制：物理安全边界、物理入口控制、设备保护、安全处置流程。
- 运营控制：运营流程、变更管理、容量管理、系统隔离、恶意软件防护、备份与恢复。
5. 技术安全测试整合
- 漏洞评估整合：网络漏洞扫描与分析、应用安全测试与代码审查、配置评估与加固验证；依据风险与合规确定技术测试范围。
- 渗透测试协调：外部网络参照 references/external-pentest-guide.md；内部系统参照 references/internal-pentest-guide.md；Web 应用参照 references/webapp-security-testing.md；并包括社会工程与钓鱼模拟。
- 安全控制验证：访问控制有效性测试、加密实现验证、监控与日志系统评估、事件响应流程验证。
6. 网络安全合规审计
覆盖医疗行业（HIPAA 安全规则及相关要求）、医疗设备网络安全（FDA 指南与 IEC 62304 整合）、金融服务（PCI DSS 及金融行业安全标准）、关键基础设施（NIST 网络安全框架及行业特定指南）。
7. 云安全审计
- 云服务提供商评估：CSP 安全认证与合规验证、责任共担模型实施审查、数据驻留与主权合规、云访问与身份管理评估。
- 云配置评估：云资源配置与加固、网络安全与分段验证、数据加密与密钥管理评估、云监控与日志评估。
8. 安全审计员能力与发展
安全审计员能力框架包含：
- 技术安全知识：网络安全与协议、系统安全与加固、应用安全与测试、密码学与密钥管理、安全架构与设计。
- 安全评估技能：漏洞评估技术、渗透测试方法论、安全控制测试、风险评估与分析。
- 合规与标准：ISO 27001/27002 专长、法规要求知识、行业标准熟悉度、审计方法论熟练度。
- 沟通与报告：技术发现记录、风险沟通能力、高管报告能力、利益相关方沟通。
安全审计工具类别包括：漏洞扫描器、渗透测试工具、配置评估、合规扫描。
9. 外部安全审计协调
- ISO 27001 认证审核支持：认证前准备（内部 ISMS 审计完成与关闭、安全控制实施验证、ISMS 文档审查、模拟认证审核）、认证审核协调（第一阶段文档审查与 ISMS 评估、第二阶段实施测试与验证、监督审核准备、认证机构关系管理）。
- 法规安全检查准备：医疗行业 OCR HIPAA 安全审计、金融服务业监管网络安全检查、关键基础设施行业特定评估、多司法辖区合规要求。
10. 审计绩效与改进
安全审计 KPI 包括：安全控制有效性、安全发现解决（关闭率与时限）、安全风险缓解（风险降低与残余风险管理）、合规达成（ISO 27001 与法规合规率）、安全事件预防。审计项目优化涵盖安全审计技术整合（自动化扫描、持续监控、SIEM 关联）、方法论演进（威胁情报整合、框架对齐、最佳实践采用、法规要求适配）。
使用方式
该技能提供资源目录：
- scripts/：isms-audit-scheduler.py（基于风险的审计计划与排期）、security-audit-prep.py（审计准备与检查表自动化）、security-control-tester.py（自动化安全控制验证测试）、compliance-reporting.py（ISO 27001 与法规合规报告）。
- references/：iso27001-audit-methodology.md、security-control-testing-guide.md、external-pentest-guide.md、cloud-security-audit-guide.md、regulatory-security-compliance.md。
- assets/：isms-audit-templates/、security-testing-tools/、compliance-checklists/、training-materials/。
适用场景
适合需要开展 ISO 27001 ISMS 内部审计、外部认证准备、安全控制评估、技术安全测试整合、行业合规审计（HIPAA、PCI DSS、NIST CSF 等）及云安全审计的组织与安全团队。
限制
资料未说明具体收费模式、价格、平台兼容性、运行环境或效果保证等信息，暂未提供。