在 CCRC（中国网络安全审查技术与认证中心开展的信息安全服务资质认证）审核现场，可能会出现以下一些常见问题：
一、企业管理体系相关问题
管理体系文件执行不到位：
企业可能准备了完善的信息安全服务管理体系文件，包括管理手册、程序文件、作业指导书等，但在实际执行过程中，可能存在部分员工未严格按照文件要求开展工作的情况。
例如，在项目管理流程方面，文件规定了项目启动、实施、验收等各阶段的详细步骤和责任人，但现场审核发现有些项目并未完全遵循这些流程，导致项目进度、质量等方面出现问题。
管理体系更新不及时：
随着业务发展和外部环境变化，企业的信息安全服务管理体系需要适时更新。现场审核可能发现企业未能及时对管理体系进行修订，导致部分内容与实际业务操作不符。
比如，企业新增了某项信息安全服务业务，但相关的管理体系文件中却未增加对该业务的管理规定，使得该项业务在开展过程中缺乏有效的管理和规范。
二、人员相关问题
人员资质与岗位不匹配：
企业申报的从事特定信息安全服务岗位的人员，可能实际资质并不符合岗位要求。
例如，申请信息安全风险评估认证时，要求从事风险评估工作的人员具备相关专业知识和技能，如持有信息安全工程师等相关证书，但现场审核发现部分人员缺乏相应资质，却承担了风险评估工作。
人员对业务熟悉程度不够：
现场审核人员通过与企业员工交流、询问业务相关问题等方式，可能发现部分员工对自身所从事的信息安全服务业务不够熟悉。
比如，在询问关于信息安全应急处理的具体流程和应对措施时，有些员工回答含糊不清，不能准确阐述关键环节和操作要点，这表明员工可能缺乏必要的培训或对业务缺乏深入理解。
三、项目实施相关问题
项目案例真实性存疑：
企业提供的作为项目经验证明的项目案例，在现场审核时可能被发现存在真实性问题。
例如，审核人员通过查阅项目合同、验收报告、与客户核实等方式，发现某些项目可能是为了凑数而虚构的，或者实际执行情况与所提供的证明材料不符，这将严重影响企业的认证结果。
项目管理不善：
在查看企业正在实施或已完成的项目时，可能发现存在项目管理不善的情况。
比如，项目进度失控，未能按照预定计划完成；项目质量不达标，存在信息安全漏洞未及时修复等问题，这些都反映出企业在项目管理能力方面的不足。
四、技术设施相关问题
技术设施配置不足：
企业开展信息安全服务需要相应的技术设施支持，如服务器、存储设备、网络设备等。现场审核可能发现企业的技术设施配置未能满足其申报的信息安全服务业务需求。
例如，从事大规模数据安全运维服务的企业，其服务器的处理能力、存储容量等可能不足以应对业务量，导致服务效率低下或出现数据丢失等风险。
技术设施维护不善：
企业配置了足够的技术设施，但如果维护不善，也会在现场审核中暴露问题。
比如，网络设备长时间未进行更新升级，存在安全隐患；服务器经常出现故障，影响业务正常运行等情况，都说明企业在技术设施维护方面存在欠缺。
五、办公场所相关问题
办公场所布局不合理：
从便于信息安全管理的角度看，办公场所的布局应符合一定要求。现场审核可能发现企业的办公场所布局不利于信息安全管理，如不同部门间的信息安全区域划分不明确，可能导致信息泄露风险增加。
例如，负责信息安全风险评估的部门和负责信息系统开发的部门在同一开放空间办公，没有设置有效的隔离措施，使得信息在传递过程中可能出现安全问题。
办公场所安全措施不到位：
企业办公场所应采取一定的安全措施，如门禁系统、监控系统、防火防盗等措施。现场审核可能发现这些安全措施存在缺陷。
例如，门禁系统形同虚设，任何人都能轻易进入办公区域；监控系统覆盖范围不全，存在监控死角等问题，这都不利于保障办公场所的信息安全。
企业在接受 CCRC 审核现场时，应提前做好充分准备，针对可能出现的上述问题进行自查自纠，以确保审核能够顺利通过。
