上周讨论话题：内部审计与外部审计介绍

cissp

应该说国内用户目前可以接受安全咨询，并乐意为之付费；而安全审计是在咨询－建设－维护－审计这样一个流程中的末尾，在各个企业尚处于安全建设初期阶段时，安全审计可以作为推荐意见，单很难有用户真正的接受。
有趣的现象是CISSP偏向与咨询，CISA重在审计。以目前审计公司的技术能力和经验来看，将来的安全审计工作还会是以由现在的专业安全公司演化出来的咨询审计部门完成。另外一部分安全审计工作将由具备国家职能性质的审计公司完成。
安全审计的一个发展机会是国家出台安全审计相关要求的规定，CISA在美国受重视，便因为在美国安全法规中有相关的要求。
这篇帖子也全当回答某些网友就CISA前途的疑问。仅为个人看法而已。

降龙十八掌

我不同意
“将来的安全审计工作还会是以由现在的专业安全公司演化出来的咨询审计部门完成。”这一看法。

系统安全的实施，咨询，审计不可能由一个公司来完成，即使这个公司的各个部门是独立的。

咨询和审计不能是一家，否则就没有独立性可言，就像现在的财务咨询与审计逐步分家一样。

cissp

咨询和审计分离的重要原因之一为Certification（认证），若咨询的目的是通过认证，而审计的目的是颁发和维护认证，那么咨询和审计势必要分离才可以。
安全审计的目的是持续更新，避免由于惰性和其他原因产生的安全问题，若不存在认证这种利益关系，我认为，审计和咨询是可以放在一起实施的。