（一）定义

采用书面形式获得被评估信息系统相关信息

（二）分类（管理类+技术类）

（1）管理调查问卷

涵盖安全策略、安全组织、资产分类和控制、人员安全、业务连续性等，针对管理者、操作人员

（2）技术调查问卷

包括物理和环境安全、网络通信、系统访问控制和系统开发与维护，调查对象是IT技术人员