UNCLASSIFIED (RECLASSIFY after first entry) 

Information System Audit Guide 

Australian Government 
Department of Defence 

Information System Audit 
Guide 

VERSION 11.1 
January 2012

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 1 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

TABLE OF CONTENTS
1. INTRODUCTION TO ACCREDITATION.................................................................4
2. THE INFORMATION SYSTEM AUDIT – CHECKLIST ...............................................7
2.1. WHAT IS AN INFORMATION SYSTEM AUDIT? ....................................................................7
2.2. WHY IS AN INFORMATION SYSTEM CERTIFICATION NEEDED?.................................................7
2.3. ASSESSING AN INFORMATION SYSTEM’S SECURITY RISKS .....................................................7
2.4. SELECTING AN INFORMATION SYSTEM’S SECURITY CONTROLS ...............................................7
3. PURPOSE OF THE CHECKLIST.............................................................................8
4. HOW TO USE THE CHECKLIST............................................................................8
4.1. THE CHECKLIST STRUCTURE ..........................................................................................8
4.2. SECURITY OBJECTIVES .................................................................................................9
4.3. GUIDANCE FOR IRAP ASSESSORS ..................................................................................9
4.4. INFORMATION SYSTEM COMPLIANCE ...........................................................................10
5. GUIDANCE FOR IRAP ASSESSORS...................................................................10
6. THE CHECKLIST ...............................................................................................11
6.1. THE INFORMATION SECURITY POLICY & RISK MANAGEMENT ...............................................11
6.2. INFORMATION SECURITY ORGANISATION ......................................................................14
6.3. INFORMATION SECURITY DOCUMENTATION ...................................................................17
6.4. INFORMATION SECURITY MONITORING .........................................................................20
6.5. CYBER SECURITY INCIDENTS .......................................................................................22
6.6. PHYSICAL & ENVIRONMENTAL SECURITY ........................................................................24
6.7. PERSONNEL SECURITY FOR INFORMATION SYSTEMS ..........................................................26
6.8. PRODUCT & MEDIA SECURITY .....................................................................................27
6.9. SOFTWARE, NETWORK & CRYPTOGRAPHIC SECURITY ........................................................30
6.10. ACCESS CONTROL & WORKING OFF-SITE SECURITY ........................................................33
APPENDIX A – ACCREDITATION GOVERNANCE.....................................................36
THE ISM & CERTIFICATION .................................................................................................36
COMPLIANCE LEVELS .........................................................................................................37
COMPLIANCE REPORT .......................................................................................................37
COMPLIANCE COMMENTS .................................................................................................37
AUDIT DOCUMENTATION SUBMISSIONS .................................................................................38
APPENDIX B – STANDARDS ..................................................................................39

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 2 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

For Additional Information & Assistance 
Point of Contact: IRAP Manager 

Phone: 1300 292 371 

Email: [email protected] 

© Australian Government 2011 
This work is copyright. You may download, display, print and reproduce this material in unaltered form only (retaining 
this notice) for your personal, non­commercial use or use within your organisation. Apart from any use as permitted 
under the Copyright Act 1968, all other rights are reserved. 

Assessment Details 
Agency Name: ________________________________________________ 
Agency ITSA:_________________________________________________ 

IRAP Assessor:  ______________________________________________ 

Date of IRAP Audit:  ___________________________________________

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 3 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

1.  Introduction to Accreditation 
Government Agencies are required under the Protective Security Policy Framework 
(PSPF) to consider the security of their electronic information systems and to implement 
safeguards designed to adequately protect these essential systems. 
The Defence Signals Directorate regularly issues the Australian Government Information 
Security Manual (ISM). This manual defines the Australian Government’s information 
security best practices and is designed to provide assistance with information security to 
State & Federal Government agencies. 
An information security audit is conducted as part of the wider accreditation process. 
The aim of an information security audit is to review the information system architecture 
(including the information security documentation), assess the actual implementation 
and effectiveness of controls for a system and to report on any observed operational 
risks relating to the operation of the system to the certification authority.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 4 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

The Information System Audit is conducted in two distinct stages. In Stage 1, the 
Assessor reviews all available documentation to assess the completeness and 
appropriateness of the controls selected through the Statement of Applicability and 
defined in the System Security Plan (SSP).

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 5 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

The second stage of the audit is conducted to assess whether the controls documented 
in the SSP have been implemented and are operating effectively. 
The Certification Authority will receive the Compliance Report from the Assessor and 
make a judgement based on the findings of the review to determine if any residual risk is 
present in the manner in which the controls are operated. The Assessor should provide 
detailed information regarding the operation of controls if they are found to be ineffective 
or partially effective to enable the Certification Authority to make this assessment. 
A requirement of the ISM is that Agencies must obtain accreditation for each of their 
systems and must obtain certification for these systems prior to the awarding of 
accreditation. 

It should be noted that the certification process does not provide any guarantee 
that the System or any connected networks cannot or will not be compromised.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 6 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

2.  The Information System Audit – Checklist 
The ISM defines processes and controls to assist agencies with security for all ICT 
systems. This checklist focuses on the ISM’s processes and controls allowing an 
organisation to concentrate on an individual information system. Controls defined in the 
SOA that originate from the System Risk Management Plan should be assessed in 
conjunction with these ISM controls. 

2.1.  What is an Information System Audit? 
The purpose of the information security certification is to determine whether the 
documented security controls within the SSP, as approved by the system owner and 
reviewed during the information system architecture review stage, have been 
implemented and are operating effectively. The outcome of this process is a certificate 
confirming that the system was certified as being compliant with its SSP.  In addition, the 
controls that are reviewed are wider than those contained in the SSP and extend across 
the contents of the ISM so a recommendation can be made to the organisation for the 
system’s suitability for being accredited. 

2.2.  Why is Information System Certification needed? 
Obtaining certification for an information system(s) provides an organisation with the 
needed assurance that their Information systems are compliant with DSD’s best practice 
information security guidelines.  The certification process forms part of the system’s 
accreditation as defined in the ISM. 

2.3.  Assessing an Information System’s Security Risks 
Security requirements are identified by methodically assessing the security risks faced 
by the organisation and its’ systems. The subsequent implementation of appropriate and 
measured controls to reduce the potential consequence or likelihood mitigates these 
risks and reduces the organisations overall risk profile. 

2.4.  Selecting an Information System’s Security Controls 
An organisation, having decided to treat a risk, must then select and implement an 
appropriate control/s to reduce the risk to a level the organisation deems acceptable. 
The selection of controls should be based on the organisations context and risk profile, 
and subject to all relevant national and international legislation and regulations.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 7 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Not all the controls listed in the ISM will be applicable to every information system. A 
Statement of Applicability should be created and it is recommended that it be annexed 
to the SSP to identify which controls in the ISM and from the SRMP will be applied to the 
system. 

3.  Purpose of the Checklist 
The Information System Audit Checklist is designed to serve as a reference source for 
the IRAP Assessor. It details the security objectives, an approach to reviewing the 
security of a system and possible guiding references within the ISM. The checklist 
identifies the key areas of concern and their context within an information system and 
the management processes that support it. 
It provides a lead for IRAP Assessors who must evaluate an organisation’s Information 
System’s components, configuration, architecture, management processes and 
procedures, based upon the organisational context, their identified risk, their risk appetite 
and preferred or strategic treatment approach. 
It will also allow System Owners to establish the scope, funding and resource 
requirements prior to undertaking an information system certification.  A gap analysis is 
made possible using the Information System Audit Checklist as a baseline to compare 
and review existing controls. 

4.  How to Use the Checklist 
The Information System Audit Checklist is designed to meet 2 functions: 
Provide guidance to IRAP Assessors as to the appropriate audit steps and assist with 
the evaluation of the ISM security controls that have been implemented. 
Provide the implementer with guidance on how information systems will be assessed 
and to provide context for ISM controls and the certification process. 

4.1.  The Checklist Structure 
As can be seen below, the checklist is structured in line with the ISM and broken into 10 
main sections which groups together related security controls under a single heading. 

Item  Information System Security Control Processes 
6.0  Information Security Policy & Risk Management 
Information Security Governance

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 8 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Item  Information System Security Control Processes 
6.1  Information Security Organisation  ­ Roles & Responsibilities 
6.2  Information Security Documentation 
6.3  Information Security Monitoring 
6.4  Information Security Incidents 
Physical Security 
6.5  Physical & Environmental Security 
Personnel Security 
6.6  Personnel Security for Information Systems 
Information Technology Security 
6.7  Product & Media Security 
6.8  Software, Network & Cryptographic Security 
6.9  Access Control & Working Off­Site Security 

Each section is then broken into subsections, which identifies a system security 
requirement 1 .  The IRAP Assessor must ensure that these “Requirements” are met by 
the system via compliance with some or all of the ISM controls identified along side the 
security requirement. 

4.2.  Security Objectives 
This component identifies some general security objectives associated with each 
section.  The objectives have been drawn from the ISM and ISO27001:2007 Information 
Security Management Systems and should only be references as a guide to assist 
control selection. 
Each organisation through their SRMP identifies their security objectives and it is these 
objectives that the selected controls will need to achieve. 

4.3.  Guidance for IRAP Assessors 
This section provides an introductory level of detail as to how the objective(s) may be 
achieved and guidance as to the selection of available security controls. 

1 
Within the Checklist under the compliance heading are the Requirements denoted by a reference number 
and title ie “R1 ICT Security Policy”

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 9 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

It also describes what evidence the IRAP Assessor may look for to confirm that the 
appropriate controls have been applied and are mitigating risk effectively. 

4.4.  Information System Compliance 
This section indicates the minimum certification requirements (eg: R1, R2) and allows 
the IRAP Assessor to indicate compliance and provide appropriate comment. It provides 
reference(s) to the ISM’s pertinent control principles and the relevant security controls as 
defined in the ISM.  For the system to be compliant with the requirement, the 
implemented controls must address the security objective and have reduced the 
identified risk to an acceptable level, whilst meeting the organisation’s stated goal/s. 

5.  Guidance for IRAP Assessors 
The following assessment guidance is provided to IRAP Assessors:
· In order to verify that procedures discussed within policy documentation are 
operational, IRAP Assessors MUST request a demonstration to see that 
procedures are in use.
· This checklist’s requirements MUST NOT be scoped out during a review, unless it 
is indicated that a specific requirement may not be applicable to a particular 
system or scenario type.
· The IRAP Assessor MUST also verify that threats are identified, assessed and 
addressed appropriately, and that the stated controls are working to effectively 
mitigate the risk to an acceptable level.
· As part of the certification process, the IRAP Assessor MUST specifically look for 
adherence to the applicable ISM’s standards and identify any gaps and/or 
inconsistencies.
· IRAP Assessors MUST review operational audit trails, action plans, meeting 
minutes, etc. to demonstrate that sufficient inspection of controls has taken place 
to evaluate and determine operational effectiveness.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 10 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.  The Checklist 
The following sections, 6.1 to 6.9, form the “Information System Audit Checklist” and if 
appropriate will need to be completed and submitted by the IRAP Assessor to the IRAP 
Manager as described in Appendix A. 

6.1.  The Information Security Policy & Risk Management 
| Risk Assessment | Security Risk Management Plan | Information Security Policy 

6.1.1.  Security Objective 
Risk Management 
A System Owner shall attempt to identify, quantify, analyse and evaluate risks to their 
information assets. The System Owner will select appropriate risk treatments and plan 
the  implementation  of  controls  designed  to  reduce  the  identified  risks  to  a  level 
acceptable to Australian Government. 
Information Security Policy 
Information systems & ICT security are built on stable policy foundations, as such; an 
organisation  should  establish  an  Information  Security  Policy  thereby  providing  the 
organisation with management direction and support for the secure establishment and 
operation of Information Systems & ICT infrastructure, along with its management and 
operational processes and procedures. 

6.1.2.  Guidance for IRAP Assessors 
Effective Risk Management involves 2 main Tasks: 
1.  Assessing Risk, which involves:
· Establishing the objective and context for the risk assessment;
· Identification of risks based on valid threats and vulnerabilities;
· Analysis of the risks and their impact; and
· Evaluation of risk for likelihood and consequence to the organisation. 
2.  Treating Risk, which involves:
· Identify the treatment approach (Reduce, Transfer, Avoid, Accept); and
· If reducing the risk, the selection of effective and appropriate controls.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 11 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

The IRAP Assessor MUST ensure that;
· The System Owner has conducted a Threat & Risk Assessment and developed 
an SRMP utilising the Defence risk management framework or a suitable Risk 
methodology;
· The Accreditation Authority has authorised the implementation of the SRMP and 
the acceptance of all identified residual risk;
· The SRMP may indicate existing controls and their maturity, and if required the 
selection of any additional controls based on the scope and context of the 
assessment; and
· The System Owner’s records show that the SRMP has been reviewed and 
updated at appropriate intervals or following significant events within the 
organisation, and ensure that appropriate action/s have occurred. 
The IRAP Assessor MUST review an organisation’s TRA, SRMP, implementation 
approvals and the organisation’s Risk Management Framework to assess the 
consistency between the methodology, policies, plans, and procedures. 

6.1.3.  Risk Management Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

ITSM 
0760. 
ITSO 
0777 
Effective  Identification & Authentication 
R1. Risk  0413 
Partially Effective  Detecting CS Incidents 
Assessment  0121 
Not Effective  Managing CS Incidents 
0916 
Product Installation & 
0291 
Configuration 
Comments: 

CISO 
0721, 0726, 0727 
Effective  ITSM 
R2.Security Risk  System Owners 
0019 
Partially Effective 
Management Plan  0040 
Not Effective  Documentation Fundamentals 
0788
Security Risk Management Plans 

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 12 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Comments: 

6.1.4.  Guidance for IRAP Assessors 
A policy document MUSTprovide and define:
· Scope, objective and context for the particular policy;
· Policy statements which clearly articulate the organisation’s intent and/or 
requirements;
· Processes and procedures that support the policies implementation and 
operation;
· Roles and responsibilities for the policy’s implementation, operation and 
maintenance;
· Guidance on policy interpretation and external references; and
· Consequences of policy violation, reporting and assistance contacts. 
Policy pertaining to information systems may exists at both an Administrative level; 
comprising high­level statements that describe the systems functional requirements, and 
at the Operational level; defining the protection required, both technical and procedural, 
and the implementation of controls for all information systems. 
Assessors SHOULD look for realistic policies that have been approved and endorsed at 
the appropriate management level, which are implemented and enforced as part of the 
system’s operation and management. 

6.1.5.  ISP Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Principle  ISM Controls 

Effective  Documentation Fundamentals  0039, 0044 

R3. Information  Information Security Policies  0890 
Partially Effective 
Security Policy 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 13 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.2.  Information Security Organisation 
| Security Management Forum | Chief Information Security Officer| IT Security 
Adviser | IT Security Manager | IT Security Officer | System Owner | System Users | 

6.2.1.  Security Objectives 
1. To ensure the management of information security within the organisation. 
2. To define the information security roles and responsibilities for the organisation and 
the information systems, thereby to assist in ensuring all security issues receive 
appropriate attention and control. 

6.2.2.  Guidance for IRAP Assessors 
The assessor MUST look for evidence of a security management framework, required by 
the ISM, which actively promotes and supports information security by setting clear and 
visible direction via the establishment and endorsement of appropriate security roles and 
responsibilities. 
This is achieved by the allocation of specific security tasks and responsibilities to 
particular roles:
· Agency Head
· Chief Information Security Officer
· Agency Security Adviser
· IT Security Adviser
· IT Security Managers
· IT Security Officers
· System Owners
· System Managers
· System Users
· Other roles as defined in the SSP. 

A key role of the ITSMs and System Owners is to collaborate on and ensure the 
development, implementation, maintenance and endorsement of essential information 
system security documentation for the system’s secure configuration(s), operations and 
other key components for system certification.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 14 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.2.3.  Security Organisation Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

ISM Controls & 
Requirements  Assessment  ISM Reference 
Guidance 

R4. Security  Effective  The Agency Head  0011, 0012 

Management  Partially Effective  CISO  0725 
Forum  Not Effective  ITSM  0767 

Comments: 

Effective  0714, 0716, 0719, 
R5. Chief  0721, 0723 
Information  Partially Effective  CISO 
0725, 0728­0730, 
Security Officer  Not Effective  0734 
Comments: 

Effective 
R6. IT Security 
Partially Effective  ITSA  0013 
Advisor 
Not Effective 
Comments: 

Effective  0741, 0016, 0024, 
R7. IT Security  0747­0750, 0023, 
Partially Effective  ITSM 
0019, 0753, 0754, 
Manager 
Not Effective  0758 
Comments: 

Effective 
R8. IT Security 
Partially Effective  ITSO  0768, 0770­0782 
Officer 
Not Effective 
Comments: 

Effective 
R9. System 
Partially Effective  System Owners  0027 
Owner/s 
Not Effective 
Comments: 

R10. System User/s  Effective  System Users  0033

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 15 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

ISM Controls & 
Requirements  Assessment  ISM Reference 
Guidance 
Partially Effective 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 16 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.3.  Information Security Documentation 
| Documentation Framework | Information Security Policy | Security Risk 
Management Plan | System Security Plan | Standard Operating Procedures | 
Incident Response Plan | General Controls | 

6.3.1.  Security Objectives 
1. A documentation framework will assist an organisation to develop ICT security 
documentation in a manner that allows for easy creation, use, reference and 
maintenance. 
2. Ensuring ICT security documentation is developed by skilled practitioners will assist 
the organisation to develop a strong ICT security baseline from which systems can be 
maintained and developed. 

6.3.2.  Guidance for Assessors 
The assessor MUST review the following documentation set to ensure it is appropriate, 
complete and meets the required standard for certification:
· Information Security Policy;
· Security Risk Management Plan;
· System Security Plan;
· Standard Operating Procedures;
· Incident Response Plan; and
· General controls. 
Other documents that may reflect the effective control, development and operations of a 
system’s security are:
· Statement of Applicability (Controls);
· Site Security Plan;
· Procedures detailing proper completion of tasks;
· Logical /Infrastructure Architecture diagram/s;
· List of critical configurations;
· Security Calendar to schedule security related tasks; and
· An established audit programs/schedule (Internal & External).

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 17 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.3.3.  Security Documentation Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

Effective  Documentation Fundamentals  0044, 0786, 0787, 

R11.Documentation  0047, 0885 
Partially Effective 
Framework 
Not Effective 
Comments: 

Effective  Documentation Fundamentals  0039 

R12. Information  Information Security Policy  0049 
Partially Effective 
Security Policy 
Not Effective 
Comments: 

Effective  Documentation Fundamentals  0040 

R13. Security Risk  Security Risk Management  0788 
Partially Effective 
Management Plan  Plan 
Not Effective 
Comments: 

Documentation Fundamentals  0041 
Effective  System Security Plan  0895, 0067 
R14. System 
Partially Effective  Authorisations, Security  0432 
Security Plan  Clearances & Briefings 
Not Effective 
Conducting Audits  0800, 0802 
Comments: 

Documentation Fundamentals 
Effective  0042 
R15. Standard  Standard Operating 
0051, 0789, 0790, 
Operating  Partially Effective  Procedures 
0055, 0056 
Procedures  Not Effective  0800 
Conducting Audits 
Comments: 

Effective  Documentation Fundamentals  0043 

R16. Incident  Incident Response Plans  0058, 0059 
Partially Effective 
Response Plan 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 18 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Requirements  Assessment  ISM Reference  ISM Controls 

Documentation Fundamentals  0046 
Emergency Procedures  0062 
Conducting Accreditation  0791 
Conducting Audits  0799, 0800 
Product Selection &  0282 
Acquisition  0313 
Product Sanitisation &  0322 
Disposal 
0348 
R17. General  Effective  Media Handling 
0363 
Documentation  Partially Effective  Media Sanitisation 
0374 
Controls  Not Effective  Media Destruction 
0400 
Media Disposal 
0413 
Software Development 
Environments  0580 
Identification & Authentication  0471 
Event logging & Auditing  0510 
Using DACAs  0588 
Key Management 
Fax Machines & MFDs 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 19 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.4.  Information Security Monitoring 
Vulnerability Management | Change Management | Business Continuity & Disaster 
Recovery | 

6.4.1.  Security Objective 
To ensure: 
1.  The  agency  is  responding  to  the  latest  risk  environment  and  that  systems  are 
configured in accordance with current ICT security documentation. 
2.  That  as  new  vulnerabilities  are  identified  and  published;  agencies  reassess  the 
information security of their systems. 

6.4.2.  Guidance for Assessors 
The Assessor should review the outcomes and associated actions resulting from 
relevant Information Security Reviews. The results and any remedial actions 
associated with relevant Vulnerability Assessments and the defined change 
management process as identified within the System’s SSP. 
The Assessor MUST review the systems audit program and/or security calendar to 
ensure that formal reviews are appropriately scheduled and occur as scheduled. 

6.4.3.  Information Security Monitoring Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

Effective 
R18.Vulnerability 
Partially Effective  Vulnerability Analysis  0105, 0112, 0113 
Management 
Not Effective 
Comments: 

Effective 
R19.Change 
Partially Effective  Change Management  0115, 0117, 0809 
Management 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 20 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

R20.Business  Compliant 
Continuity &  BCP & DRP  0118, 0119 
NON Compliant 
Disaster Recovery 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 21 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.5.  Cyber Security Incidents 
| Detecting Cyber Security Incidents | Reporting Cyber Security Incidents | 
Managing Cyber Security Incidents | 

6.5.1.  Security Objective 
1. The Organisation should act in a timely and co­operative manner to prevent, detect 
and respond to information security incidents. 
2.  Recognising  the  interconnectivity  of  information  systems  and  networks  and  the 
potential for rapid and widespread damage, participants should act in a timely and co­ 
operative manner to address security incidents. 

6.5.2.  Guidance for Assessors 
The Assessor MUST review the procedures for the detection and management of 
security incidents and ensure Incident Response Plans include and identify:
· What is an information security incident and the various types;
· Who should manage the incident at an operational and technical level;
· The training & skills required to assume these roles;
· The authority that has responsibility for the various actions associated  with the 
investigation of the incident;
· Steps to ensure the integrity of evidence;
· Steps to ensure availability of the systems based on criticality; and
· Formal reporting requirements and procedures. 
IRPs MUST to be supported by documented operational procedure that are designed to:
· Detect potential security incidents whether accidental or malicious;
· Establish the cause of any incident that does occur;
· Detail responses to incidents based on the type and severity of the individual 
incident;
· Formal and Internal incident reporting requirements; and
· Documentation to provide recommendations for security enhancements, tracking 
of the incidents events, reporting and post incident actions undertaken. 
The Assessor MUST review all plans and procedures and ensure that the organisation’s 
objectives for incident management are agreed by management and that those

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 22 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

responsible for incident response understand the organisations objectives. 
In addition the assessor MUST review incident registers, minute and outcomes of post 
incident reviews and the attendees and outcomes of testing & training activities. 
Note to R23 & R24: DSD RECOMMENDS that any requests for DSD assistance are 
made as soon as possible after the incident is detected, and that no actions which may 
affect the integrity of the evidence are carried out prior to DSD involvement. 
CSOC Contact details for reporting incidents are: 
Email: [email protected]   Phone: 1300 292 371 (24x7) 

6.5.3.  Incident Response Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Principle  ISM Controls 

R21. Incident  Effective  Documentation Fundamentals  0043 

Response &  Partially Effective  Detecting CS Incidents  0139­0141, 0918 
Detection Policy  Not Effective  Intrusion Detection & Prevention  1032 

Comments: 

Incident Response Plans  0058, 0059 
Effective  Detecting CS Incidents  1020, 1021 
R22. Incident 
Detection &  Partially Effective  0122, 0125, 0126, 
Managing CS Incidents  0916, 0129­0132, 
Response Plan  Not Effective  0134­0136 
Intrusion Detection & Prevention  0575, 0578, 0579 
Comments: 

Effective  Reporting CS Incidents  0123, 0124, 0139­ 

R23. Reporting  0143 
Partially Effective 
Security Incidents  Managing CS Incidents  0133 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 23 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.6.  Physical & Environmental Security 
| Security Environment | Equipment Security | 

6.6.1.  Security Objective 
With  the  use  of  physical  security  and  environmental  controls  a  defense­in­depth 
strategy  is  implemented  thereby  ensuring  that  information  and  communications 
technology assets are being adequately protected and controls enforced. 
1.  To  prevent  unauthorised  damage,  access  and  interference  to  business  premises 
and information. 
2. To prevent loss, damage or compromise of assets and interruption to business 
activities 
3. To prevent compromise of information and information processing facilities 

6.6.2.  Guidance for Assessors 
As part of the information system’s security review the assessor will review the system’s 
physical security, the access control(s) at the data centre and control of equipment, 
networks and peripherals. 
The Assessor MUST review and look for evidence of the effective implementation of:
· The Site Security Plans;
· Standard Operating Procedure; and
· Physical Security Controls. 
The security pertaining to the equipment associated with the information system and the 
acquisition, configuration, maintenance and disposal of the physical components. 
The Assessor MUST review and seek evidence of:
· The PSPF’s Physical protection requirements have been meet appropriately;
· Cabling controls are appropriate for the connected system’s classification; 
and
· The equipment has appropriate maintenance arrangements and controls. 
The organisation SHOULD be asked to demonstrate implementation of effective desktop 
and system configurations policy for the system’s classification, and the appropriate 
information system relocation, repair and disposal controls and procedures are 
implemented.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 24 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.6.3.  Physical & Environmental Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

Agency Security Advisor  0738 
Effective  Facilities  0810, 0164, 0919 
R24. Environment 
Partially Effective  RF & Infrared Devices  0222, 0223 
Security 
Not Effective  Escorting Uncleared  0167 
Personnel 
Comments: 

Servers & Network Devices  1053, 0812, 0813, 
1074, 0150, 0151 
Effective 
R25. Equipment  Network Infrastructure  0152, 0156 
Partially Effective 
Security  ICT Equipment  0159, 0160­0163 
Not Effective 
Tamper Evident Seals  0174, 0175, 0178­ 
0180 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 25 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.7.  Personnel Security for Information Systems 
| Information Security Awareness & Training | Security Clearances and Briefings | 

6.7.1.  Security Objective 
To  ensure  that  system  users  received  appropriate  information  security  training  and 
awareness,  thereby  assisting  with  the  prevention,  detection,  and  reduction  of  the 
impact of information security incidents. 
To  ensure  that  those accessing  systems or  secure  spaces  have  appropriate  security 
clearance and access 

6.7.2.  Guidance for Assessors 
An assessor must ensure that an appropriate information security training and 
awareness policy and programme exists within an agency to ensure that all personnel 
receive and continue to receive, appropriate exposure to:
· their responsibilities as privileged and/or system users;
· the consequences of non­compliance with organisational policies and controls; 
and
· the risks and vulnerabilities associated with technologies and social 
engineering. 

6.7.3.  Personnel Security Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Principle  ISM Controls 

Effective  0251­0253, 0255, 
R26. Information  IS Awareness & Training 
0257, 0922 
Security Awareness  Partially Effective  Using the Internet 
0817, 0819, 0820 
& Training  Not Effective  Email applications 
0269 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 26 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Effective  Security Clearances & Briefings  0432, 0404, 0405, 

R27. Security  0435 
Escorting Uncleared Personnel 
Clearances and  Partially Effective  0167 
Briefings  Using the Internet 
Not Effective  0818 
Comments: 

6.8.  Product & Media Security 
| Security Requirements | Product Selection | Operations Management | Security 
Devices | Media Handling and Security | Asset Identification & Classification | 
Asset Labeling and Handling | 

6.8.1.  Security Objective 
To ensure that appropriate product selection and acquisition processes provide the 
agency with a level of assurance that security risks have been reduced. 
To ensure that the risk associated with products used outside their recommended configuration 
is managed appropriately 

To ensure that information and organisational asset receive an appropriate level of 
protection, an organisation will need to identify, document, manage and control its 
information assets effectively. 

6.8.2.  Guidance for Assessors 
The assessor MUST review the design and implementation of the information system 
and review the system acquisition processes to ensure appropriate EPL products have 
been sourced. 
The assessor MUST review the system design documentation based on the system 
SRMP and the post implementation review documentation. 
The assessor MUST  seek evidence in support of vulnerability monitoring of all relevant 
sources and the actions taken pertaining to any identified vulnerabilities. 
The assessor MUST ensure that all system changes are appropriately managed and 
documented to ensure the maintenance of the systems configuration. 
Information assets are the focus of an organisation’s policy development and risk 
management activities; hence the assessor MUST review the appropriate identification, 
classification and labeling of information assets. 
An assessor MUST review the organisation’s asset register to ensure appropriate

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 27 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

identification, classification, ownership and controls are in place. 
An assessor MUST  review the SRMP to ensure the asset is receiving the appropriate 
level of protection. 
Notes to R35 & R36: Organisations must use the classification scheme defined in the 
PSM Part C. and must comply with Physical Security requirements as detailed in the 
PSM Part E with Non Government organisations obtaining ASIO T4 Physical Security 
certification. 

6.8.3.  Product & Media Security Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

Effective  ITSM  0747, 0749, 0750 

R28. Security  Product Selection & Acq’tion  0279 
Partially Effective 
Requirements 
Not Effective  Product Installation & Config  0289 

Comments: 

Effective  ITSM  0751, 0754, 0755 

R29. Product  Product Selection & Acq’tion  0279, 0280 
Partially Effective 
Selection 
Not Effective  Product Installation & Config  0289, 0291 

Comments: 

Product Selection & Acq’tion  0285, 0287 
Product Patching & Updating  0297, 0298, 0300, 
0303, 0304, 0940, 
0941, 1143, 1144 
Effective  0305­0308, 0310, 
R30. Operations  Product Maintenance & 
Partially Effective  0943 
Management  Repairs 
Not Effective  0311­0319, 0321, 
Product Sanitisation &  1076 
Disposal 
0444, 0445, 0790, 
Privileged Access 
0985, 0709, 0986, 
0582 
Comments: 

Effective 
R31. Security Devices  Partially Effective  Product Selection & Acq’tion  0279
Not Effective 

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 28 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Comments: 

Media Handling  0323, 0325, 0330­ 
Media Usage  0334 
0337, 0338, 0341­ 
0344,0831, 0832 
Media Sanitisation 
Effective  0350­0354, 1065­ 
R32. Media Handling  Media Destruction  1068, 0356­0362, 
Partially Effective  Media Disposal  0836, 0838 
and Security 
Not Effective  0363­0066, 0368, 
1160, 0370­0373, 
0839, 0840 
0374, 0375, 0329, 
0378 
Comments: 

Standard Operating 
R33. Asset  Effective  Procedures  0790 
Identification &  Partially Effective  Hardware Products  0159 
Classification  Not Effective  Product Classifying &  0293 
Labelling 
Comments: 

Standard Operating  0790, 0056 
Procedures  0294 
Effective 
R34. Asset Labeling  Product Classifying &  0395, 0396 
Partially Effective  Labelling 
and Handling  1022­1024, 0562­ 
Not Effective  Databases  0566, 0875 
Email Infrastructure 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 29 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.9.  Software, Network & Cryptographic Security 
| SOE | Application Usage | Applications Development | Applications & Database 
Development | Application Processing | Cryptographic Control Policy | 
Cryptographic Security | Network Security | Exchange of Information and Software 
| 

6.9.1.  Security Objective 
To ensure that software security fundamentals are based on hardened SOEs and 
system software to form a configuration baseline. 
To ensure that access control listings for applications and services provide an appropriate level 
of control and security and whilst meeting business. 

To ensure that Users manage and protect the information contained within email. 

To ensure that secure Database management practice along with software development and 
testing procedures are employed 

6.9.2.  Guidance for Assessors 
The assessor MUST review the software design and implementation of the information 
system and review the security requirements identified and agreed within the planning 
and design phases of information system acquisition processes. 
Design details that need to be reviewed include, but are not limited to:
· System and component acquisition and configuration;
· Data management including input and output validation;
· Internal processing controls and storage requirements;
· Access control for system and application authentication and authorisation;
· Message control and integrity;
· Backup and restore requirements; and
· System fault and vulnerability management. 
The assessor MUST review the system design documentation based on the system 
SRMP and the post implementation review documentation. This will ensure that all 
cryptographic products and controls are implemented and operated appropriately, 
ensuring that development and testing environments along with the associated network 
controls mitigate the identified risks.

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 30 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.9.3.  Software,  Network  &  Cryptographic  Security 

Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Reference  ISM Controls 

Effective  0383, 0385, 0953, 
Standard Operating 
0386­0388, 0954 
R35. SOE  Partially Effective  Environments 
0843­0851, 0955­ 
Not Effective  Application Whitelisting 
0957 
Comments: 

0958, 0258, 0260­ 
Effective  0263, 1149 
R36. Application  Web Browser Applications 
Partially Effective  0967­0273, 0966, 
Usage  Email Applications 
Not Effective  0852, 0278, 0275, 
1089 
Comments: 

R37. Applications &  Effective  Software Application 

0400, 0401 
Database  Partially Effective  Development 
0395­0399 
Development  Not Effective  Databases 

Comments: 

Standard Operating  0385, 0387, 0953 
Environments  0399 
Effective  Software application  0966­0968, 0271­ 
R38. Application  Development 
Partially Effective  0273, 0275, 0278, 
Processing  Databases  0852, 1089 
Not Effective 
Email Applications  0580, 0582, 0986, 
Event Logging & Auditing  0584­0586, 0859, 

Comments: 

Effective  Reporting IS Incidents  0142, 0143 

R39. Cryptographic  Network Infrastructure  0157 
Partially Effective 
Control Policy 
Not Effective 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 31 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Requirements  Assessment  ISM Reference  ISM Controls 

Cryptographic Fundamentals  0453, 0455, 0457, 
0460 
DACA  0473­0477, 0469, 
0480 
DACP 
0481 
SSL and TLS 
Effective  0482, 1139 
R40. Cryptographic  Secure Shell 
Partially Effective  0486­0489, 0997 
Security  S/MIME 
Not Effective  0490 
OpenPGP Message Format 
1091 
0496­0498, 0998­ 
Internet Protocol Security  1001 
Key Management 
0503­0507, 0509, 
1003, 1004, 0511 
Comments: 

Network Management  0513­0517, 1007, 
1006 
VLANs  0529, 0530, 0533­ 
Effective  0535, 1138 
R41. Network  Wireless LAN 
Partially Effective  0536, 0538­0544, 
Security  0860 
Not Effective  Intrusion Detection & Prevention 
0575,0578, 0579, 
1031 
Multifunction Devices  0589, 0590 
Comments: 

Email Infrastructure  0561­0565, 0875, 
1022, 0566, 0569­ 
0572, 0574, 0861, 
R42. Exchange of  Effective  1151, 1152 
Information and  Using the Internet 
Partially Effective  0817­0823, 1146,­ 
Software  Not Effective  1148, 0924, 0923, 
0266 0267, 
Internet Protocol Telephony  0546­0548, 0551­ 
0559, 1014­1018 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 32 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

6.10.  Access Control & Working Off­site Security 
| Business Requirements for Access | User Access Management | User 
Responsibilities | System Access | Privileged Access | Remote Access | Working 
Off­Site | 

6.10.1.  Security Objective 
Appropriate  system  access  control  will  provides  protection  against  unauthorised 
access  through  user  identification,  authorisation  and  restricting  access  to  only 
information and functions needed by staff to undertake their duties. 
1. To control access to information 
2. To ensure authorised access and to prevent unauthorised access to information 
systems 
3. To prevent unauthorized user access, and compromise or theft of information and 
information processing facilities 
4. To prevent unauthorised access to network services, operating systems, information 
held within applications 

6.10.2.  Guidance for Assessors 
The assessor MUST review the technical and procedural controls of physical and logical 
access to the various components of information systems and ensure they support the 
documented policies and procedures. 
The assessor MUST seek evidence supporting the implementation of clear and 
appropriate policy statements, plans and procedures, for:
· Password policy and management controls;
· User access management including privileged and remote access;
· Registration & de­registration requirements and controls;
· User responsibilities, conditions of use and review of user access rights;
· Network, operating system and application access requirements and controls; 
and
· Mobile computing & teleworking policy, requirements and controls. 
Evidence MUST be sought of the organisation’s control mechanisms to authenticate 
users and subsequently provide appropriate authorisation to the systems assets on a

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 33 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

“need to know” basis. 

6.10.3.  Access Control Compliance 
The organisation has demonstrated effective implementation of appropriate processes 
and procedures, as listed below, to meet the Security Objective and this Information 
System’s Certification Requirements: 

Requirements  Assessment  ISM Principle  ISM Controls 

System Users  0033, 0034 
Identification & Authentication  0413, 0420, 0421 
Effective 
R43. Access  Authorisation, Security Clearances  0404, 0854, 0855 
Partially Effective  and Briefings 
Policy 
Not Effective  Privileged Access  0446­0448 
Event Logging & Auditing  0580 
Comments: 

Identification & Authentication  0417­0419, 0974, 
Effective  0423, 0424 0853, 
R44. Business  0427, 0429, 0430 
Requirements for  Partially Effective  Event Logging & Auditing 
0580, 0582­0587, 
Access  Not Effective  0986­0991, 0859, 
0109 
Comments: 

Identification & Authentication  0414, 0416 
Effective  Authorisation, Security Clearances  0407, 0435 
R45. User Access  and Briefings 
Partially Effective 
Management 
Not Effective  Remote Access  0858, 0706, 0985, 
0709 
Comments: 

Effective  Authorisation, Security Clearances  0404 

R46. System  and Briefings 
Partially Effective 
Access 
Not Effective  System Access  0854, 0855 

Comments: 

Effective  Authorisation, Security Clearances  0407 

R47. Privileged  and Briefings 
Partially Effective 
Access  Privileged Access  0444, 0450­0451, 
Not Effective  0982

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 34 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Comments: 

Effective 
R48. User 
Partially Effective  System Users  0033, 0034 
Responsibilities 
Not Effective 
Comments: 

Effective  Working Off­site Fundamentals  1047, 0693, 0694 

R49. Working Off­  Working From Home  0865, 0685 
Partially Effective 
Site  Working Outside the Office  0866, 0867, 1050, 
Not Effective  0700­0702 
Comments:

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 35 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Appendix A – Accreditation Governance 
This Appendix provides general information and guidance on Accreditation 
requirements.  It is provided in this checklist as audit is part of the wider accreditation 
process.  It also provides instructions to the IRAP Assessor. 
The objective of the ISR Checklist is to assist IRAP Assessors to evaluate an agency’s 
system compliance to the relevant and applicable controls in the ISM 
This appendix outlines the “Accreditation Governance” as stated in the ISM for the 
information of assessors and implementers.  It also provides detail as to the Assessor’s 
role and associated tasks that must be completed by the assessor as part of the 
agency’s certification and accreditation process. 

The ISM & Certification 
The relevant ISM controls pertaining to all systems can be found at: 

ISM Clause  Control  Keyword 

Certification Administration 
Non Compliance  1060  Required 
0001  Must 
1061  Must 
Justification for non­compliance  0710  Must 
Consultation on non­compliance  0711  Must 
0712  Must 
Notification of non­compliance  0713  Must 
Reviewing non­compliance  0876  Recommended 
Recording non­compliance  0003  Must 
Annual compliance reporting  1062  Must 
1063  Must 
Accreditation Framework  0791  Must 
Accreditation  0064  Must 
0065  Must 
0086  Should 
Accrediting systems bearing caveat  0077  Must 
or compartment 
Reaccreditation  0069  Should 
0070  Must 
Certification  0795  Must 
Accreditation decision  0808  Must

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 36 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

ISM Clause  Control  Keyword 

Conducting Certification  1141, 1142, 0807, 0100  Must & Should 

Conducting Audits  0902, 0797, 0798, 0799,  Must 
0800, 0802, 0904, 0084, 
0805, 0806, 0905, 1140, 

Compliance Levels 
The identification, implementation, operation and maintenance of effective security 
controls, designed to mitigate identified risks, is the ultimate objective.  Failing to achieve 
this may result in non­compliance for individual controls.  Assessors are referred to 
pages 1 through 6 for definitions of keyword compliance requirements. 
The non­applicability of controls or non­compliance with controls MUST be identified 
within the Compliance Report. 
Controls are to be assessed as being Effective, meaning the controls have been fully 
implemented and are operating as designed. 
If the controls has not been implemented or are implemented in a manner that renders 
the control ineffective, then the Assessor MUST find this control as Not Effective. 
In certain circumstances, controls can be implemented however its effectiveness is not 
complete due tooperational limitations.  The IRAP Assessor may choose to assess this 
as Partially Effective. Supporting comment will provide the Certification Authority with 
background information to assess whether there is operational residual risk which may 
cause the system to be not certified, or to be reported through to the Accreditation 
Authority as having identified Operational Residual Risk. 

Compliance Report 
A compliance report based on the “Requirements” components as detailed in this 
document MUST be provided. 
The compliance report MUST include signoff by the Assessor. 
The compliance report MUST provide any recommendations based on non­mandatory 
best practice guidelines that have not been demonstrated. 

Compliance Comments 
IRAP Assessors MUST provide their comments against individual requirements in the 
certification report

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 37 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

IRAP Assessors MUST comment on ALL applicable requirements within the 
checklist. 

Comments MUST provide details of how well each requirement has been 
implemented and whether the control is effective. 

Audit Documentation Submissions 
IRAP Assessors MUST forward the audit report to the IRAP Manager once an audit is 
completed. 
The IRAP Manager’s details are as follows: 
IRAP Manager 
C/o Melissa Osborne 
Information Security Operations Branch 
Defence Signals Directorate 
PO Box 5076 
Kingston ACT 2604

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 38 
 UNCLASSIFIED (RECLASSIFY after first entry) 
Information System Audit Guide 

Appendix B – Standards 
Australian Government Information Security Manual, December 2010 ISM 

Australian Government Protective Security Policy Framework, 2010 PSPF 

Department of Defence, Defence Security Manual, eDSM 

AS/NZ ISO/IEC 27001:2007 Information Technology – Security Techniques ­ 
Information Security Management Systems Requirements 

AS/NZ ISO/IEC 27002:2006 Information Technology – Security Techniques – Code 
of practice for Information Security Management 

AS/NZ ISO 31000:2009 Risk Management – Principles and Guidelines

UNCLASSIFIED (RECLASSIFY after first entry) 
© Commonwealth of Australia 2011  Page | 39