信息系统安全审计管理规定经济审计_经济-审计.pdf

《信息系统安全审计管理规定经济审计_经济-审计.pdf》由会员分享，可在线阅读，更多相关《信息系统安全审计管理规定经济审计_经济-审计.pdf（7页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息系统安全审计管理规 定 Revised by Liu Jing on January 12,2021 信 息 系 统 安 全 审 计 管 理 制 度 第一章工作职责安排 第一条安全审计员的职责是：1.制定信息安全审计的范围和口程；2.管理具体的审计过程；3.分析审计结果并提出对信息安全管理体系的改进意见；4.召开审计启动会议和审计总结会议；5.向主管领导汇报审计的结果及建议；6.为相关人员提供审计培训。第二条 评审员由审计负责人指派，协助主评审员进行评审，其职责是:1.准备审计清单；2.实施审计过程；3.完成审计报告；4.提交纠正和预防措施建议；5.审查纠正和预防措施的执行情况。第三条受审

2、员来自相关部门，其职责是：1配合评审员的审计工作；2.落实纠正和预防措施；3.提交纠正和预防措施的实施报告。第二章审计计划的制订 第四条审计计划应包括以下内容:1.审计的目的；安全审计的范围和口程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参与如架构业务方向等需要

3、进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包2.审计的范围；3.审计的准则；4.审计的时间；5.主要参与人员及分工情况。第五条制定审计计划应考虑以下因素：1.每年应进行至少一次涵盖所有部门的审计；2.当进行重大变更后（如架构、业务方向等），需要进行一次涵盖所 有部门的审计。第三章安全审计实施 第六条审计的准备：1.评审员需事先了解审计范围相关的安全策略、标准和程序；2.准备审计清单，其内容主要包括：1）需要访问的人员和调查的问题；2）需要查看的文档和记录（包

4、括日志）；3）需要现场查看的安全控制措施。第七条在进行实际审计前，召开启动会议，其内容主要包括：1.评审员与受审员一起确认审计计划和所采用的审计方式，如在审计 的内容上有异议，受审员应提出声明（例如：限制可访问的人员、可调查的系统等）；2.向受审员说明审计通过抽查的方式来进行。第八条审计方式包括面谈、现场检查、文档的审查、记录（包括口志）的 审查。安全审计的范围和口程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审

5、员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参与如架构业务方向等需要进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包第九条评审员应详细记录审计过程的所有相关信息。在审计记录中应包含 下列信息：1.审计的时间；2.被审计的部门和人员；3.审计的主题；4.观察到的违规现象；5.相关的文档和记录，比如操作手册、备份记录、操作员日志、软件 许可证、培训记录等；6.审

6、计参考的文档，比如策略、标准和程序等；7.参考所涉及的标准条款；8.审计结果的初步总结。第十条如怀疑与相关安全标准有不符合项的情况，审计员应记录所观察到 的详细信息（如在何处、何时，所涉及的人员、事项，和具体的情况等）并描 述其为什么不符合。关于不符合的情况应与受审员达成共识。第十一条在每项审计结束时应准备审计报告，审计报告应包括：1.审计的范围;2.审计所覆盖的安全领域；3.审计结果的总结；4.不符合项，不符合项的具体描述和相关证据；5.纠正和预防措施的建议。安全审计的范围和口程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的

7、结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参与如架构业务方向等需要进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包第十二条不符合项是指与等级保护基本要求不一致的情况。产生不符合项 可能是由于与相关的规定不一致，包括：1.等级保护基本要求；2.

8、信息安全策略；3.相关标准和程序；4.相关法律条款；5 本单位的相关规定；6.任何其它在客户合同中规定的要求。第十三条不符合项可以细分为“主要”或“次要”。如果所发现的不符合 项属于下列任何一种情况，此不符合项应被分类为“主要”的：1.会导致系统、程序或控制措施整体失效；2.操作过程没有形成标准的文档；3.累计多个同一类型的“次要”不符合项；4.对信息安全管理体系的未授权变更。如果所发现的不符合项属于个别事件，此不符合项将被分类为“次要”的，例如：1.未标识信息安全分类的文档；2.没有被管理层审阅的事故报告；3.不完整的变更记录；4.不完整的机房进出记录。安全审计的范围和口程管理具体的审计过程

9、分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参与如架构业务方向等需要进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包第十四条 造成不符合项的原因可以

10、分为以下儿种：1.其文档化的标准和程序与信息安全策略不一致;2.实际的操作与文档化的标准和程序要求不一致；3.实际的操作没有达到预期效果。第四章安全审计汇报 第十五条召开审计总结会议。应总结汇报以下内容：1.审计的目标和范围；2.审计的时间；3.参与审计的人员；4.审计报告（包括纠正和预防措施的建议）；5.提交审计报告的副本供受审员参考。第十六条在总结会议上，受审员应阐述任何疑问。第五章纠正和预防措施 第十七条 纠正和预防措施应该包括问题描述、根本原因、应急措施（可 选）、纠正措施以及预防措施。第十八条受审员必须制定纠正和预防措施的实施计划。第十九条 受审员应在规定时间内向评审员提交纠正和预防

11、措施的实施报 告。第六章审计纠正和预防措施的实施状况 第二十条评审员应在受审员提交报告的3个月内，审计纠正和预防措施的 实施状况。第二十一条审计纠正和预防措施应包括：面谈、现场检查、文档的审查以 及安全审计的范围和口程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参

12、与如架构业务方向等需要进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包记录（包括日志）的审查。第二十二条评审员根据受审员提交的纠正和预防措施实施报告，收集、记 录和审查相关证据。第七章审计结果的审阅 第二十三条安全审计员应审阅和分析所有审计结果。第二十四条受审员的领导在审阅审计结果时，应分析的事件包括审计计 划、此次审计结果和上次审计结果的比较、纠正和预防措施。第八章附则 第二十五条本制度由某某单位负责解释。第二十六条本制度自发布之日起生效执行。安全审计的范围和口程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训第二条评审员由审计负责人指派协助主评执行情况第三条受审员来自相关部门其职责是配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告第二章审计计划的制订第四条审计计划应包括以下内容审计的目的审计的范围审计的准则审计的时间主要参与如架构业务方向等需要进行一次涵盖所有部门的审计第六条审计的准备第三章安全审计实施评审员需事先了解审计范围相关的安全策略标准和程序准备审计清单其内容主要包括需要访问的人员和调查的问题需要查看的文档和记录包