稽核主要還是要看你的驗證範圍，公部門外稽通常比較放水，因為稽不過大家都很麻煩，所以能不開主缺就不會開主缺，最多就是次缺開一堆叫你五天內想辦法生出矯正報告而已。 因為問什麼很吃個案跟稽核員習慣，我就大約回答，可能去年來的稽核員很在意帳號生命，你改了流程下了苦功，今年來的卻不在意，反而很在意你的機房安全... 1.被稽核問過甚麼樣的問題 稽核員主要就是在聊天中去問問最近發生什麼事，然後再從言談中找出可能的問題，比如說上個月高階主管離職，那就可以查組織成員表有無更新、管審會議有無召開及內容符不符合等，又或例如比對資訊資產盤點表後發現你們多了一台伺服器，那就可以查機房人員進出、保密協議書、設備進出、變更管理、帳號管理甚至到該系統有無SSDLC的流程。 2.當天可能會給他們看哪一些文件 基本上就是全套四階或三階表單了，然後看稽核員要什麼補充，例如軟體授權、廠商或同仁的保密切結書、系統開發合約等，但主要還是看文件後看操作，額外文件補充相對比較少。 3.當日總體流程 到達現場>跟承辦聊聊>起始會議(報告今日流程及ISMS制度)>高階主管面談>查閱紙本文件>現地查看>稽核小組討論(多人且承辦需離開)>撰寫報告>結束會議(報告稽核結果) 4.稽核前夕我需要準備的有甚麼?除了文件，還有需要向其他承辦人要甚麼嗎? 最好把上一次的缺失重新看一次有沒有改善，若有個人電腦問題，再提醒大家檢查，例如上次抓到有同仁把密碼貼在螢幕上被開次缺，若這次再被抓到，就可能會被升級成主缺。 以上簡單說明。

不如先玩個柚子社怎麼樣呀

妳先去考iso 27001:2022證照再來說吧

你不孤單 我甚至只接不到1個月的資安業務 現在也是搞外部稽核 前手還是裸辭不交接的（瘋掉 目前我的做法是多問問題 不會或不懂的問顧問公司或長官 走一步算一步