信息安全审计控制程序_第1页
信息安全审计控制程序_第2页
信息安全审计控制程序_第3页
全文预览已结束

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

德信诚培训网安全审计控制程序1目的评价信息安全管理和实践的原则和控制，以维持公司期望的信息安全水平。2适用范围适用于公司的所有管理人员和员工，以及所有为本公司工作，同时接触公司的信息资源的外来人员。3术语和定义4职责和权限在信息安全领导办公室的统一组织下实施。5工作流程审计包括两种检查方式：a) 自我评估b) 内部/外部审计5.1自我评估为保持各部门内部良好的信息安全管理状态及第一时间发现和处理不符合现象，确定各控制措施的有效性，要求每个部门进行信息安全管理和实践和自我评估并根据需求采取纠正措施。自我评估通常在信息安全领导办公室的统一安排下，由各部门负责人组织实施。自我评估通常每年至少进行一次。除此以外，为了提高部门内信息安全管理水平，部门负责人也可以指定其认为必要和合适的时间进行自我评估。各部门结合本部门的要求和工作实际，制定适合本部门的自我评估的检查表并实施，但必须包括对控制措施符合性和有效性的评估。自我评估的结果要报告给信息安全领导办公室，由信息安全领导办公室确定纠正措施的计划并指导实施。纠正措施实施计划包括：a) 对纠正措施的简单描述，包括当前控制措施与和要达到的目标之间的差距分析；b) 纠正措施的实施时间要求；c) 纠正措施的实施负责人。5.2内部/外部审计信息安全领导办公室根据业务活动的安全需求，确定是否进行内部/外部审计。在一个年度内，若没有进行自我评估，则必须进行一次内部/外部审计。由信息安全领导办公室确定审计人员。为了实现审计的目的，内部审计人员必须是具有掌握最新信息技术并了解公司信息安全管理计划的人或组织。一般由内审员承担。在进行内部/外部审计前，审计要求和活动应得到信息安全领导办公室的认可：a) 审计要求、范围和计划、程序；b) 审计人员对审计作业相关的必要的软件和数据（特别是不具有写保护的）访问；c) 提供支持检查的必要IT人员；d) 数据处理和（或）操作的要求。审计的结果要报告给信息安全领导办公室，由信息安全领导办公室确定纠正措施的计划并指导实施。纠正措施实施计划包括：a) 对纠正措施的简单描述，包括当前控制措施与和要达到的目标之间的差距分析；b) 纠正措施的实施时间要求；c) 纠正措施的实施负责人。5.3自我评估和安全审计涉及到的内容5.3.1技术脆弱性、符合性管理为确保对技术脆弱性的控制，减少利用公开的技术弱点导致的风险，从以下特定的领域考虑到实施控制，包括：a) 共用服务器/开发用服务器的管理；b) 测试环境与业务环境分离状况；c) 未经授权的公司以外设备使用的禁止；d) 安全漏洞、弱口令；e) 防病毒软件的有效性；f) 认证/加密措施的有效性。（若必要）5.3.2符合安全策略和标准在审计过程中，应考虑到管理状况是否符合公司的安全策略和相关标准，如发现不符合情况，应采取相应措施，包括：a) 不符合的原因；b) 所需要的控制措施的有效性；c) 计划
人人文库> 全部分类> 行业资料 > 信息产业

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论