管理体系条款（必须项）
| 条款 | 审核常查的文件或记录 |
|---|---|
| 4 组织环境 | 内外部议题、相关方及其要求、ISMS 范围（含边界与接口） |
| 5 领导作用 | 信息安全方针、角色与职责分配、管理层承诺的证据 |
| 6 策划 | 风险评估方法与报告、风险处置计划、适用性声明（SoA）、信息安全目标及实现计划、变更的策划 |
| 7 支持 | 资源、能力与培训记录、意识教育、沟通安排、文件化信息控制 |
| 8 运行 | 运行策划与控制、按计划开展的风险评估与处置记录 |
| 9 绩效评价 | 监视测量结果、内部审核方案与报告、管理评审记录 |
| 10 改进 | 不符合项与纠正措施记录、持续改进证据 |
附录 A：93 项控制分四类
- 组织控制（37 项）：信息安全政策、角色职责、资产清单、访问控制、供应商关系、云服务使用、事件管理、业务连续性、法律合规、威胁情报等
- 人员控制（8 项）：背景调查、雇佣条款、意识培训、纪律处分、离职责任、保密协议、远程工作、事件报告
- 物理控制（14 项）：物理边界与出入、办公区安全、设备安全、介质管理、物理安全监控等
- 技术控制（34 项）：终端设备、特权访问、身份认证、恶意软件防护、漏洞管理、配置管理、信息删除、数据脱敏、防泄漏、备份、日志、监控、网络安全、加密、安全开发、测试等
2022 版新增的 11 项控制值得特别准备：威胁情报、云服务信息安全、业务连续性 ICT 准备、物理安全监控、配置管理、信息删除、数据脱敏、数据防泄漏、监控活动、网页过滤、安全编码。
第一阶段审核前
- ISMS 范围已定稿，与客户关心的实体和服务一致
- 方针、风险评估报告、风险处置计划、SoA 齐备
- 必备程序和记录模板已发布
- 至少运行了一段时间并有记录
第二阶段审核前
- 完成至少一轮覆盖全部范围的内部审核
- 完成管理评审并有输出决定
- 内审发现的问题已有纠正措施
- 关键控制有可抽查的运行证据（访问审查、备份测试、培训记录、供应商评估等）
- 员工能说明自己的安全职责
审核常见的不符合项集中在：风险评估与 SoA 不一致、内审覆盖不全、管理评审流于形式、控制有制度无记录。