信息安全管理体系标准有一整个章节都是关于监控和评审的。关于监控和评审的重要性，昆明亭长朗然科技有限公司信息安全管理顾问专员董志军表示：标准强烈地反映出管理层积极参与信息安全管理体系的长期管理的需求，同时也要认识到，信息安全威胁环境的变化快于商业环境。下面我们将粗略地讨论三种类型的活动，即：监控，审计和评审。
监控
监控，也可称为监督，它的首要目的是尽快地检测出程序的错误和信息安全事件，以便能速度采取纠正行动。监测应是正式的、系统化的和广泛的。附录的安全类别监测中包含专门监控IT相关的活动，这些都与ISO 27001的此部分相关联。信息安全事故管理章节也是监控的核心部分，它提出，组织必须监测偏差和事件，响应它们并从中进行学习。
审计
审计，另一方面，是经过专门设计和规划，用以确保在SOA记录中的控制是有效的及正在使用中的，并确定不合格和改进的机会。
控制目标（符合安全政策和标准，以及技术合规检查）中有特别针对这一问题，强调要有计划地定期进行在流程和技术层面人合规检查。附录中提出审计工具的安全性要求。审计在ISO 27001的条文有更深入的要求，其中规定了如下两个重要方面：
1.审计程序“应该策划审计方案，考虑审计过程和区域的状况及重要性，以及上次审计的结果。”
2.“受审计区域的管理负责人应确保立即采取措施以消除发现的不符及其原因，跟踪活动包括所采取措施的验证及验证结果的报告。”
再次重复一篇，标准清晰的指出，组织各级管理在信息安全管理体系的有效实施、维护和改善方面扮演重要角色。这必需纳入到管理和监督工作的职责描述、劳动合同、文化导向和其他培训及绩效评价中。
评审
评审也作审查，对内部和外部审计政策、业绩报告、异常报告、风险评估报告和所有相关的政策和程序进行评审，以确保信息安全管理体系在不断变化的背景下继续有效。
这一阶段当然和附录以及ISO 27002的相关章节有密切的关联，具体关联如下：
1.信息安全策略的评审
2.信息安全的独立审查
3.第三方服务的监测和审查
4.监测本身就是一项控制目标
5.用户访问权限的审查
6.应用程序的正确处理，是监测程序的使用和数据处理的控制目标
7.从信息安全事故中学习
8.测试、维护和重新评估业务连续性计划
所有的这些控制都必须在ISMS第三阶段的开发和实施阶段得到解决。监控和评审报告活动的相关发现和输出要被转移至纠正和改进行动，并且，出于ISMS的目的，用以证明决策过程和实施这些决策的审计记录需要保存在ISMS的记录中。
后话
看到很多客户顺利地通过了ISMS审计，我们为客户通过大量的安全意识宣教活动，建立了企业信息安全文化，并不断改进和获得国际认证组织的认可，感到非常高兴。欢迎其他的潜在客户也积极联系我们，洽谈相关的ISO 27001人员培训。
昆明亭长朗然科技有限公司
