监督审核前的认证范围争议与严重不符合
某医疗信息服务公司持有 ISO/IEC 27001:2022 认证，证书范围为“为医院提供云 EHR 平台的开发与运维（总部及两个数据中心）”，目前处于第二年的监督审核周期，审核预约在 6 周后。内审刚刚结束，开出 1 项严重不符合：访问权限定期复核在过去 12 个月未执行，涉及 240 个账户，其中 37 个属于已离职或已转岗人员；另有 3 项一般不符合。管理评审上一次召开是 11 个月前。3 个月前，公司用收购来的团队在另一座城市上线了一个 SaaS 子产品，部署在同一云账户、共用同一数据库集群与账户体系。2 个月前，公司把一级 Help Desk 外包给第三方，外包商使用自有工单系统，医院通过邮件提交的含患者诊断信息的截图附件就存放在该系统内。公司规模 620 人，安全专职人员 3 人，管理者代表同时负责等级保护测评整改。公司希望把上述两块排除在认证范围之外，以降低本次审核的复杂度、避免范围变更带来的额外审核人日。认证机构规则要求范围变更须在审核前申报。内审报告未包含严重不符合的根本原因分析，纠正措施计划只写了“加强培训并在 30 天内完成复核”。
1. 新增 SaaS 子产品与外包 Help Desk 是否应纳入认证范围？请说明判断依据，以及审核前应采取的动作。
Read the worked answer
判断依据是组织边界、信息流与管理接口，不是“团队在哪个城市”或“系统归谁所有”。
SaaS 子产品：在范围内。同一云账户、同一数据库集群、同一账户体系，意味着存在实质信息流与共享基础设施，也共享同一套访问控制与事件响应能力。要排除，必须证明无信息流、无共享基础设施、无共享人员--此处三条都不成立。强行排除会使范围声明不实，属于体系层面的问题，比单个不符合更严重。
外包 Help Desk：必须由 ISMS 覆盖。它处理组织的信息（含患者诊断信息），属于外包过程，适用供应商关系（A.5.19–A.5.22）、访问控制与事件报告要求。不能因为“用的是外包商自己的系统”就排除。外包商自有系统未受组织控制，这本身应作为风险评估项处理：合同审计权、传输与静态加密、留存期限、删除义务、分包限制。
审核前动作：更新范围声明与 SoA；对新增部分做风险评估与适用性判断；补充内审覆盖；在监督审核前向认证机构申报范围变更（可能触发特殊审核或增加审核人日）。不要等到审核现场再解释。
附带发现：让医院通过邮件提交含患者信息的截图，违反最小化收集原则，应改为工单门户 + 字段级收集，可列为不符合或观察项。
2. 针对严重不符合（12 个月未做权限复核、37 个离职或转岗账户），6 周内应如何处置？
Read the worked answer
把“纠正”与“纠正措施”分开报告，审核员会重点看这个区分。
立即纠正（48 小时内）：完成 240 个账户复核，禁用 37 个离职/转岗账户；同时调取这些账户过去 12 个月的登录与操作日志，判断是否已发生未授权访问。若已发生，改走事件响应流程并评估通报义务--这一步经常被跳过，导致“已处置”却遗漏了事件。
根本原因分析：为什么流程没执行？常见根因是责任人未指定、无自动化、人员变动未交接、复核结果无人使用。用 5 Why 或因果图，给出证据，而不是结论。
纠正措施：把复核嵌入 IAM 与 HR 离职流程（HR 状态变更自动触发禁用）；季度自动生成复核报表并由业务负责人确认；把“离职账户残留天数”纳入 KRI 与管理评审输入。
有效性验证：下一次复核记录、内审抽样结果、KRI 趋势。审核员认可的是“已实施并验证有效”，不是“已计划”。
反面示例：把“加强培训”作为唯一措施，几乎必然被判定为根因分析不充分；6 周内完不成的措施要给出有时间点和责任人的计划，并附已完成部分的证据。
3. 管理评审超过 12 个月未召开说明了什么？应如何处理？
Read the worked answer
性质判定：标准要求按策划的时间间隔进行管理评审，超期本身即体系失效的信号，应作为不符合处理，而不是日程问题。
它说明了什么：最高管理者未把 ISMS 纳入议事日程，这会连带影响资源投入、风险偏好传达、目标设定与改进决策的质量。安全专职 3 人对 620 人规模，管理者代表还兼管等级保护整改--管理评审缺位往往是资源挤压的结果，而非单纯疏忽。
处置动作：立即安排专项管理评审，输入必须覆盖内审结果、风险再评估、严重不符合、范围变更、合规义务变化（含等级保护整改）、事件与 KRI；输出要有决策与资源承诺，并留记录。此后固定日程（如每半年），写入体系文件。
进一步检查：过往管理评审记录是否只是形式化签字、输入是否被真正使用。若答案是“走形式”，根因在治理层，仅补一次会议不能解决问题。
与审核的关系：在监督审核前完成一次实质性的管理评审，并让审核员看到输入-讨论-决策的链条，比补一份会议纪要有效得多。