风险评估-人员访谈模板

人员访谈调研表说明：人员访谈表是在做信息安全风险评估过程中格外重要的评估工具，通过调研可以从多个方面获知企业信息安全的现状，如组织安全、制度治理、物理安全、资产治理、访问把握及灾难恢复等。日期日期本描述作者审核调查员调查员被调查人单位/部门职务联系方式填写日期安全组织领导层是否重视信息系统的安全治理？是 B.否 C.其他组织是否设置了信息网络安全的治理部门，负责整个信息网络的安全治理和执行工作？是 B.否 C.其他安全部门的工作是否可以得到同级其他部门足够的理解和协作？是 B.否 C.其他安全部门是否有专职负责信息安全治理的人员？是 B.否 C.其他组织是否购置了针对信息系统的长期安全参谋或安全效劳商的效劳？是 B.否 C.其他对第三方英语课文一体化资源权限是否有适宜的把握？(第三方包括产品供给商、软件供给商、效劳商、集成商和参谋等)是 B.否 C.其他在要求信息保密的状况下，是否必需要求第三方签署保密协议？是 B.否 C.其他安全岗位组织是否设置了不同的系统维护和安全治理岗位？是 B.否 C.其他系统维护岗位的相关人员是否有明确的安全职责？是 B.否 C.其他治理员的安全责任和义务是否在入职说明中被申明？是 B.否 C.其他信息技术人员在应聘时是否与组织签订了安全保密协议，承诺数据保密的安全？是 B.否 C.其他组织的信息技术离岗人员在办理离岗手续之前是否交回了全部的密钥、口令和技术文档？是 B.否 C.其他信息安全技术人员是否还兼做某些业务工作？是 B.否 C.其他组织是否认期对信息技术人员进展技术或任职资格考核？是 B.否 C.其他教育培训组织是否对全部员工进展过计算机安全治理的普及培训教育？是 B.否 C.其他组织是否认期对信息技术人员进展过安全技术培训？是 B.否 C.其他组织是否认期以不同形式、不同级别的方式对信息技术人员进展培训？是 B.否 C.其他制度治理组织是否建立了明确的信息网络安全策略或安全规划？是 B.否 C.其他组织是否制定并严格执行了机房安全治理制度？是 B.否 C.其他组织是否制定并严格执行了核心信息及资产访问和处理的制度？是 B.否 C.其他组织是否制定并严格执行了灾难应急和备份恢复制度，以保障安全大事发生时能尽快恢复系统？是 B.否 C.其他组织是否制定并严格执行了文档治理制度，对机密文件的安全存放、使用和销毁做出了相应的要求？是 B.否 C.其他组织是否常常对已公布的安全制度进展回忆，检查和修改其中不适宜的地方？是 B.否 C.其他物理环境是否有公司投入机房进出把握，无关人员未经安全责任人批准是否严禁进出机房？是 B.否 C.其他机房是否设置了门禁系统？是 B.否 C.其他组织是否设置了保安治理制度？是 B.否 C.其他组织是否在机房等重要位置安装了监控摄像头？是 B.否 C.其他进入机房的人员是否都有相应的登记记录?是 B.否 C.其他进入机房的人员是否都有相应的登记记录？是 B.否 C.其他进入机房的人员所做的操作是否都有相应的记录是 B.否 C.其他机房是否做了有效的防火措施？是 B.否 C.其他机房是否做了有效的防水措施？是 B.否 C.其他机房是否做了有效的防雷措施？是 B.否 C.其他机房是否作了有效的防电磁泄漏或其他无线保护措施？是 B.否 C.其他机房是否有单独的配电柜？是 B.否 C.其他机房是否有备份电源或UPS不连续电源等措施？是 B.否 C.其他机房是否有专用的空调设备？是 B.否 C.其他电力线缆是否与通信线缆隔离，以避开相互的干扰？是 B.否 C.其他对通信线缆是否有相应的保护措施以防止损坏和监听？是 B.否 C.其他资产治理系统设备的选型与选购是否由高层领导部门统一规划治理？是 B.否 C.其他选用的主机和网络设备是否均为正牌厂家的产品？是 B.否 C.其他购置的网络设备及网络安全产品是否应经过安全检测和实际测试合格后投入使用？是 B.否 C.其他进展工程的审批和方案评审时，安全部门是否会参与意见，并最终得到安全部门的批准授权？是 B.否 C.其他是否有包含全部信息资产的清单？信息资产应包括数据、软件和硬件等。是 B.否 C.其他是否依据机密程度和商业重要程度对数据和信息进展分类？是 B.否 C.其他是否有专人定期对重要的设备进展保养和维护，并建立详尽的维护记录？是 B.否 C.其他是否对设备有严格的保管、使用登记和报废方面的治理要求？是 B.否 C.其他选用的软件是否均为正版软件？是 B.否 C.其他业务应用软件在正式投入使用前，是否必需经过内部测试与评审？是 B.否 C.其他是否对重要的业务数据有严格的安全与保密治理，包括对数据的转出、转入、备份及恢复的权限都进展了把握？是 B.否 C.其他是否对存有重要业务数据的主机实现了对输入媒介〔软驱、光驱等〕把握？是 B.否 C.其他关键的业务数据是否进展了加密存储和传输？是 B.否 C.其他公网上敏感数据的传输线路是否建立了VPN通道？是 B.否 C.其他关键数据的传输是否使用数字签名作为原发证据？是 B.否 C.其他是否对存储数据、传输数据等业务数据进展完整性检查？是 B.否 C.其他是否由专人负责定期备份数据？是 B.否 C.其他关键业务数据是否进展了实时备份？是 B.否 C.其他冷备份的数据和设备是否进展了异地存放？是 B.否 C.其他是否对各种传输的数据实行了实时监控的措施，以便准时觉察不良信息和破坏性数据？是 B.否 C.其他是否对各种技术资料实施密级治理方法？是 B.否 C.其他各级部门的技术资料是否有明确的治理人员负责借阅和复制技术资料的登记治理？是 B.否 C.其他报废的技术资料是否已进展销毁？是 B.否 C.其他操作运行网络治理员是否已建立了网络系统的配置修改记录？是 B.否 C.其他是否选用了网络系统运行的实时监控产品，记录和觉察不良信自或破坏性行为，分析故障发生的缘由和数据？是 B.否 C.其他对运行网络中的重要效劳器和路由器的安全配置治理是否进展了定期的审计和检查？是 B.否 C.其他对于骨干路由器是否严格使用固定终端进展配置和治理？是 B.否 C.其他是否选用了网络系统运行的入侵检测设备，以便准时觉察和把握系统入侵大事？是 B.否 C.其他在设计应用系统时，是否考虑了将来的资源和容量需求？是 B.否 C.其他重要主机的治理员是否监视主要系统资源的使用状况，包括处理器、主存储器、文件存储器及通信系统带宽？是 B.否 C.其他信息系统是否承受了负载均衡设备，以保证网络运行的牢靠性？是 B.否 C.其他信息系统是否实行了抗拒绝效劳的安全措施？是 B.否 C.其他是否对关键业务数据的传输线路进展了备份？是 B.否 C.其他是否认期对系统进展安全漏洞扫描？是 B.否 C.其他是否认期对系统的安全漏洞进展修补或加固？是 B.否 C.其他是否制定了业务系统及重要硬件设备的标准操作流程，并要求相关人员严格依据流程操作？是 B.否 C.其他关键系统软件和应用软件的审计日志功能是否已启动？是 B.否 C.其他是否有专人负责定期检查和治理软件的审计日志？是 B.否 C.其他访问把握信息系统的各种应用系统是否对不同的用户都有身份认证机制？是 B.否 C.其他网络设备是否设置了把握端口密码？是 B.否 C.其他是否对重要的主机设置了屏幕保护密码？是 B.否 C.其他用户口令或密码的度是否均超过8位？是 B.否 C.其他用户口令或密码是否由数字、字母和特别符号组成的？是 B.否 C.其他用户口令或密码是否认期(3个月或更短)更换？是 B.否 C.其他系统是否删除了长期不用的账号？是 B.否 C.其他系统是否关闭了与业务应用无关的效劳？是 B.否 C.其他是否有严格的系统权限治理机制，为不同的岗位划分了不同的权限？是 B.否 C.其他不同角色的用户是否实现了“权限最小原则”？是 B.否 C.其他是否认期审查组织网管员的用户访问权限？是 B.否 C.其他外网和内网之间是否都有防火墙、串并口隔离等物理隔离设备？是 B.否 C.其他信息系统是否已进展了网段或VLAN划分？是 B.否 C.其他可以移动的计算机介质如磁带、磁盘及印刷的报告是否已被妥当地治理和把握？是 B.否 C.其他信息系统对外的连接是否有统一的网络接口？是 B.否 C.其他应急恢复组织是否指定专人负责计算机病毒防范工作？是 B.否 C.其他系统或软件及经远程通信传送的程序或数据，是否必需经过检测确认无病毒前方可使用？是 B.否 C.其他是否承受国家许可的正版防病毒软件？是 B.否 C.其他是否认期更病毒库？是 B.否 C.其他是否制定各项关键业务系统应急打算，建立各种安全大事发生后的应急方案？是 B.否 C.其他是否设置了专职人员负责响应工作？是 B.否 C.其他是否认期对应急人员培训应急中的各种应急方案和技术措施？是 B.否 C.其他是否认期组织应急人员对应急打算进展演练和测试？是 B.否 C.其他是否认制了完善的灾难恢复打算？是 B.否 C.其他是否有专职人员负责灾难恢复工作？是 B.否 C.其他是否认期对灾难恢复人员培训灾难恢复打算中的各种恢复方案和技术措施？是 B.否 C.其他是否认期组织技术人员对灾难恢复打算进展演练和测试？是 B.否 C.其他是否对安全大事的结果进展了文字记录并存档？是 B.否 C.其他安全大事是否通过适当的治理渠道被尽快上报？是 B.否 C.其