电子产品中心(含软件开发 系统集成 运维服务) 审核记录范本

审核记录

受审核部门：电子产品中心（含软件开发、系统集成、运维服务）

审核员：

审核记录

涉及部门及接受审核人员及职务：（产品中心主管）陪同人员:

标准条款审核内容记录要求审核发现不符合

可以与领导层交渔ISMS建立、运行的基年上半年公司根据市场及自身发展的需要，按

本情况：如建立体系的背景、时间、方IS0/IEC27001:2013标准和IS0/IEC20000-1:2011标准建立了

4.4信息安全管理体系法，公司实现了哪些新的控制，以及不信息安全体系和IT技术服务管理体系，形成了管理体系文件，

足点等，为审核组有效审核提供基础。公司的体系文件包活手册、程序文件、三级文件和记录等，

建仪：与4.1条款一起进行交流于.11.10发布，.1：.10实施.

本条款是5的总则，不好单独审核，与

5.1总要求见5.2,5.3

5.2,5.3合并审核.

规划新的或变更的服

5.2规划设计部分，与5.1,5.3合并审核.见5.3

务

组织的角色，责任和权询问领导层信息安全主责部门是哪个部总经理介绍：信息安全主责部门是综合管理部，任命了理者代

5.3

限门，谁是信息安全管理绩效责任人，如表，有任命书，职贵、权限与标准要求一致।并为ISMS的运

何汇报管理绩效，包括询问谁是风险责行提供必要的资源；

任人，最高管理者如何获取风险评估的

《信息安全及IT服务管理手册》规定了各个部门职责，见管

结果.理手册的内容，各部门相关人员清楚自己的职责.

可能的证据：信息安全职责分配表或文风险接受准则、风险评估报告和残余风险报告总经理批准接

件化说明.受；

总经理参加管理评宙，进行体系的报告，本年度参加了管理评

审。

集团电网智能供电管理信息系统项目：

5.1-5.3是新服务或变更服务的设计过

程，审核中首先识别新服务或变更服务进行了立项管理：可新/变更服务需求申请单（立项申请书）

的证据，文件化过程文件，如何确定是有帚求描述、辐求评估、项目简介、内容（颈算、周期、投入

新服务或变更服务，通过SLA（是否有人力、客户评估、坦奴评估、技术要求、主要风险）、测试规

新的内容或变更内容，是否对服务有重划（研发过程中各个模块内部测试，模块整合后由魏玲铉进行

大影响）识别。整体测试）、评估结果（该项目符合客户实际需求，具备在各

确定有相关证揖，按服务的设计流程，个工业园区内推广的技术优势.）.有服务经理和管理层的批

查需求、规划设计、服务设计，关注：准。

设计和开发新的或变育项目计划及任务书：项目经理：成员：

5.31）输入的风险分析、与财务、技术、管

更的服务理体系的影响；项目目标：系统能号实现对营销收费用户的合同管理、接入审

2）输出是否满足输入，输出是否符合标批、计量、收费等营销业务报装、计量管理等业务。对于欠费

准要求的内容：输出评审证据：后进行嫩费操作的月户，为了方便系统操作人员能够及时下发

合闸命令，在该界面提供合闸功能，该功能需要进行权限控制

3）服务设计勒出中的测试及接受准则的

操作，使各工业园区能够实时直观地了解和掌握缴费用户信

确定：

息。

4）服务设计与现有SLA、服务目录等的

该软件的服务端程序将运行在Windows系统Windowserver

影响：

2008R2下，客户端软件，支持windows和linux。系统采用

5）服务撤怕的卜划.QT4.6.2开发平台进行开发.

项目内容11.结合公司现有业务系统情况，开发环境为

windows下的QT4.6.2开发平台，

2.开发一套营销收费管理模块，用于缴费用户的收费、算费、

核算等管理，同时对于欠费后进行缴费操作的用户，实现及时

下发合闸命令.

3,完善原先开发的软总线模块，使之适用于windows、linux

多平台.

项目工作计划及产ti物、Bi估进度、项目预算、项目验收标准、

项目（新/变更的服务）预期结果.

新变更服务评审会议纪要：会设目标

针对集团电网智能佚电管理信息系统项目的收费管理模块，对

项目进行籥求分析，确定项目需求范围.

新/变更服务发起人宣讲

项目需求：

系统能够实现对营销收费用户的合同管理、接入审批、计量、

收费等营销业务报装、计量管理等业务。对了欠费后进行缴费

操作的用户，为了方便系统操作人员能够及时下发合闸命令，

在该界面提供合南功能，该功能需要进行权限控制操作.

评审组意见

对于本次项目提供的项目需求分析，总体满足用户需求，并符

合公司研发发展要求，可同意整理公司目前拥有的多个不同项

目，有效地实现统一管理，规范化数据存储和展示，充分利用

目前现有技术储备。

评审结果

确定集团电网智能供电管理信息系统项目的需求分析.

上述设计结果得到客户认可并批准，进行服务变更的上线审

批：

6.1规划是1SMS标准的核心章节，实际公司制定了《风险评估管理程序》，规定风险评估的流程及资

上是对信息安全风险管理策划.在审核产管理要求,并要求每年进行一次风险评估；

过程关注两个层面问题：公司《信息安全及（T服务管理手册》中规定了风险评估的系

1）标准6.1.1规划总则要求型点在于与统方法，提供《风险评估管理程序》详细描述了风险的评估、

领导层的交流，从总体了解风险评估的识别、处理、评价、准则等.按要求在已经确定的ISMS范围

过程和结果，结果是否与预期一致.信内，对所有的信息资产进行了识别.通过对其属性赋值计算出

息安全风险评估和处置过程中是否满足资产价值,程序中规定了资产的保密赋值、完整性和可用性的

4.1和4.2要求，如何将这些要求融入级别同保密性赋值等，

到信息安全风险管控过程的，如何控制重要资产计算：重要度等级分值=C*I*A：分为高、中、低三级，

对意外风险的影响，有哪些应急措施.中、高的为重要资产。现场提供《信息资产识别清单》《重要

针对标准附录而言风险控制有无副减和

应对风险和机会的指信息资产识别表》।

6.1增加，如何评价控制的有效性.

施共识别信息资产总数：414项，困要资产总数：53项.其中：

2）信息安全风险评估和处置过程审核，

硬件类：15项，软件类：15项，信息类：153服务类：

重点审核风险责任人或信息安全风险主

24项，人员类：59项，信息系统类：6项，其它类：0项等。

费部门，通常会是信息安全小组或管理

机构，通过了解信息安全风险的评估和《风险评估管理程序》定义了：风险值=影响度*发生可能性：

处置过程，对照标准的6.1.2和61.3要风险级别为高、中、低，以及风险取值范围和接受准则.将风

求，判断其符合性和有效性，密点审核险划分为五级，等级越高，风险越高.风险等镀达到三级为不

以下内容：可接受风险，三级以下为可接受风险，不可接受风险由风险评

估小的制定风险评估计划，并由各责任部门负责实施。设定资

A）检查信息安全风险管理程序中制定的

产风险值为中、高风险都属于不可接受风险.

信息安全风险管控流程是否满足标准的

要求，这是过程审核中文审的延续，信现场能提供：《信息资产清单》《风险评估报告》《残余风险评

息安全风险管理程序中制定流程应该满价报告》等风险评估资料.

足标注要求（可以参考15031000b《风险评估报告》：娟写：审核：批准，

从风险识别一》风险评价一》对照风险接时间；11.15

受准用进行分析一〉风险控制的选择评估出风险总数：83项，低级风险数：73项，中级风险数：7

（SOA文件）对不可接受的风险制定风项，高级风险数；。项，风险处置数।7项，处置有效数，7

险处置计划，并要求风险责任人批准一〉项，残余风险：0项等.

残余风险报告，在残余风险报告中因包

所有高风险都经过7处置，对所有高风险进行评估和处置.包

含处置后的信息安全风险状况，为了检

含所有经过评估的商风险、风险处置措施、整改跟踪结果，经

测处置计划中的控制有效性，需要对处

过处置将为低风险.

置后的风险实现二次风险评估，从而得

出对残余风险的接受或不接受继续处《残余风险评估报告》编写：审核：批准：时间：11.20

置：信息安全小组认为，经过风险处理计划的实旅，可以证实我公

B）在确认上述信息安全风险管控流程满司对信息安全的风险因素进行有效的控制.

足标准的要求后，查阅受审核方按照信

息安全风险管理程序实现结果，及查阅

相关记录，

与每个客户都应该确定服务交付的内编制了服务目录，包括服务项目、服务内容、服务ID、服务

容，形成的服务目录和SLA,服务目录方式、服务指标：

和SLA的内容是否符合相应的内容.定服务项目包括，计算机系统维护、操作系统及平台软件维护、

期评审证据.安全维护、应用系线醴护、信息技术咨询服务、信息系统软件

是否有服务的变更发生，是否依据变更设计开发；

6.1服务级别管理

流程。服务目录中的内容能够覆僦本次申请的软硬件运维服务的内

服务目标的监控.不符合的原因分析及容：

改进。与所有的客户均签署了服务合同，含服务级别协议：

是否有内部团队和客户完成的服务组抽查与供电局电能量数据监控平台改造计量自动化主站系统

件，是否有文件化协议，是都定期评审改造协议，合同中项目的主要内容：电网智能供电管理信息系

与监控.统的软硬件运维及：T软硬件运维.

抽查其他客户签署合同内容基本相同，包括：集团公司，均能

提供；

集团电网智能供电管理信息系统服务报告，

1)1.必须有服务报告，即使客户不需要，

反告概要

服务提供者也要有服务报告的形式与内

容。如何体现与利益相关方达成一致

本文档报告了年02月至_年03月公司运维服

(SLA或其他形式)：

务绩效情况.

2)2.服务报告的周期：根据与客户达成

一致的协仪，审核周报、月报、季报、目的

年报，不同周期报告的内容是否约定，

定期的服务续效报告向客户进行1T眠务的汇报，实际1T

要求服务报告的完整性，所有不同类型

6.2服务报告服务透明化,有利于双方的协调与沟通、提高客户满意度并增

的报告至少满足标准a)-f)的要求।

强双方的关系.同时可以实际客户对1T服务的监督，也为1T

3)3.服务报告的内容是否与实际一致，部门的决策提供依期.

如：事件的情况、目标的达成结果等：

频率

4)4.朦务报告中有关事件、不符合、客

户投诉等负面结果的分析与改进的实流程服务绩效报告频率基本为每季度一次,个别流程为半年或

施；一年一次，根据各流程文件中执行,对于未到报告周期的分项

5)5.服务报告的提交.管理流程报告,不在次本报告范用内.

目标读者

公司管理层、各流程经理、各流程执行经理、客户管理部门等

报告原则

服务绩效报告的关键输入包括：服务目录、服务级别协议、流

程绩效数据，

艮务报告

服务可用性

>.1.|可用绩效分析

未到一年，目前的数据为服务总体可用性达100%.大于目

标值99.5%,目前达标。

LL2违例分析

无

故障处理

?21流程绩效报告

响酶f间事件解决时间

分类尤先级

目标值实际值目标值匕际值

集团电网重大15分钟内无数据4小时无数据

智能供电

1天内

管理信息

系统7天内

>.2.2报告绩效分析

根据以上流悭绩效报告可以看到：设置的指标均

能够达到

>.2.3服务违例分析

无

客户满意度报告

>3.1报告内容

本季度客户满意度为100%,大于目标值95%,

达标。

>.3.2报告分析

对整体的服务很满意，但同时希望在提供服务的时候

尽量在客户不是不忙的时候。

客户投诉报告

>.4.1报告内容

本季度发生客户投诉事件，次。

2.4.2报告分析

本季度发生投诉事件2次，一次为未按安全操作规范进

行操作，被农户投诉，另一次因技术故障被'客户投诉，

公司对客户的投诉处理比较积极认真，在最快的速度下

解决了客户依问题，两次处理，客户均比较满意。

重大事故/变更报告

>.5.1报告内容

体系运行3个月来，暂时没有发生重大事故。

>.5.2报告分析

无

编写入_____日期324审核人：______日

期324

与领导层交流以下三点内容：总经理介绍：

1）体系文件的N件化信息能否满足实际1）体系文件的文件化信息能够满足实际需要，已实现文件化

需要，是否实现文件化信息的详略强度，信息的详略强度，与组织实现的信息安全风险控制要求相适

8.1运行规划和控制与组织实现的信息安全风险控制要求相应：

适应：2）目前无变更，体系无变更、控制无变更等，无非技术内的

2）有无变更，体系的变更、控制的变更变更.

等，有无非技术内的变更,如有，如有3）外包过程的控制：目前无外包过程.

如何进行的评审：

3）外包过程的控制。

查事件管理流程文件，是否包括了服务

请求和事件，是否规定了事件优先级的

划分，是否规定了事件升级的流程，是

否规定了重大事件的定义以及负责人及

查见＜ITSM-B-12事件及服务请求管理流程》，包含了服务请

处理流程等.求和事件：事件定义、分类影响范围，规定了事件优先级的划

抽查事件和服务请求的解决：所有事件分和对应时间，规定了事件升级的流程，规定了重大事件的定

记录，分类，优先级确定，解决过程，义以及负责人及处理流程等.

关闭，解决过程通报客户.事件和服务请求的解决，ITSM-BT2F1D智能供电管理信息系

事件的解决可能引起变更，是否执行变统故障及维护情况汇总表，对所有事件记录，分类，优先级确

更流程，可以此抽样进入变更流程审核，定，事件总数62个，包括序号、厂家、故障描述、设备状态、

变更流程又与配置管理相关联，事件引完成情况、运维反馈、处理人、发现日期、处理日期等，

8.1事件和服务请求管理起的变更的配置管理数据库是否可访直见《事件服务请求管理报告》，

向。一线解决率为99.5%＞目标值90%,达成；

使用系统是比较好查的，如果是纸质记由事件升级成问题的比例是0.1%,在30%之内，达成：

录比较难。有系统也比较好的解决事件重大事件比例是0%,在10%之内，达成.

信息的可访问.查见《ITSM-B-12T12D事件分类表1》，一级分类集团电网智

能供电管理信息系统，二级分类配用电监测体验配用电监测与

事件的解决还关注解决的时间，可能与

管理系统运维服务、供电供热系统运维服务，三级分类主板或

服务目标有关，抽查中关注时间与目标

传感器故障、接口操作事件等17项。

的关系，未达目标是否用于目标统计。

未发生重大事件.

抽查事件升级的管理：如何定义，一级，符合要求.

二级，三级.

抽查重大事件的解决情况.是否评审用

于改进.

公M制定了《风的奔估管理程序》.现东风聆评估的流程及密

产管理要求，并要求每年进行一次风险评估；

公司《信息安全及（T服务管理手册》中规定了风险评估的系

统方法，提供《风险评估管理程序》详细描述了风险的坪估、

8.2和8.3有两个层面的要求：

识别、处理、评价、准则等.按要求在已经确定的ISMS范围

1）公司层面需要按照6.1.2实现风险

内，对所有的信息资产进行了识别.通过对其属性赋值计算出

评估和处置，并保留记录：另外在信息

资产价值,程序中短定了资产的保密赋值、完整性和可用性的

安全风险管理程序中要明确信息安全风

级别同保密性赋值等。

险评估的时间间隔，以及在什么情况下

重要资产计算：重要度等级分值=C*I*A；分为高、中、低三级，

重新进行风险评估；

中、高的为重要资产.现场提供《信息资产识别清单》《重要

2）这两个条款通常在部门实施审核，主

信息资产识别表》：

要审核各个部门的信息安全风险评估和

共识别信息资产总数：414项，重要资产总数：53项.其中：

处置，按照公司的制定风险管理程序规

8.2信息安全风险评估划是如何执行的，重点审核部门或业务硬件类，15项，软件类：15项，信息类।153项，服务类：

过程的信息安全风险评估和处■过程。24项，人员类：59项，信息系统类：6项，其它类：0项警。

部门信息安全风险评估和处置记录，可《风险评估管理程序》定义了；风险值=影响度*发生可能性；

能是独立的，也可能汇总在公司的信息风险级别为高、中、低，以及风险取值范圉和接受准则。将风

安全风险评估和处置记录中，对部门的险划分为五级，等级越高，风险越高.风险等级达到三级为不

信息安全风险评估的审核，其重点是审可接受风险，三级以下为可接受风险，不可接受风险由风险评

核部门或业务过程的信息安全风险识别估小组制定风险评估计划，并由各责任部门负责实施.设定资

是否齐全，控制是否有效.产风险值为中、高风险都属于不可接受风险.

可能的证据：风险评估表，接受准则.现场能提供：《信息资产清单》《风险评估报告》《残余风险评

适用时；风险处置计划，残余风险报告.价报告》等风险评估资料.

《风险评估报告》：编写：审核：批准：

时间：.11.15

评估出风险总数；83项，低级风险数；73项，中援风险数：7

项，高级风险数：0项,风险处置数：7项，处置有效数：7

项，残余风险：0项等.

所有高风险都经过了处置，对所有高风险进行评估和处置.包

含所有经过评估的高风险、风险处置措施、整改跟踪结果，&

过处置将为低风险.

《残余风险评估报台》短耳；审核：批准।时间i.ll.20

信息安全小组认为，经过风险处理计划的实施，可以证实我公

司对信息安全的风险因素进行有效的控制.

查见《ITSM-B-13问题管理流程》：定义已知错误：一个已被

查文件化的问题管理流程，关注客户问了解根本原因或可用变通解决方案降低或消除对服务影响的

题管理的概念是否准确,问题的识别、问题，规定了问题的识别、记录、分类、优先级、升银、解决、

记录、分类、优先级、升级、解决、关关闭。

闭。抽查：问题记录单，提交人，提交时间年03月12日，问题来

抽查问题管理正据，流程是否依据程序，源：事件等被动提交：问题描述：数据不能存库；问烧分类：

8.2问题管理问题的根本原因是如何查找到，临时措数据库故障，紧急、影响度中级、优先级高（2级），影响

施是什么，是否对服务有影响，问题的情况说明：采集的数据不能入库，问题复核意见：作为问题处

解决过程是否依据事件管理。是否引起理，问题管理员签孑：年3月12日，根本原因分类：数据库

变更，执行变更流程-抽样.引起配置管故障，根本原因描达：数据库日志空间满了，数据库操作执行

理的执行，配置数据库的变更，解决后失败。解决方案：使用PLSql工具登陆数据库，剥除日志.方

是否更新知识库.案执行情况、问题关闭.

基本符合要求.

8.2和8.3有两个层面的要求：公司制定了《风险评估管理程序》，展定风险评估的流程及资

产管理要求，并要求每年进行一次风险评估；

8.3信息安全风险处置1）公司层面需要按照6.1.2实施风险

评估和处置，并保留记录：另外在信息公司《信息安全及［T服务管理手册》中规定了风险评估的系

安全风险管理程序中要明确信息安全风统方法，提供《风险评估管理程序》详细描述了风险的评估、

险评估的时间间隔，以及在什么情况下识别、处理、鄙价、准则等.按要求在已经确定的ISMS范围

重新进行风险铲估；内，对所有的信息资产进行了识别.通过对其属性赋值计算出

2）这两个条款通常在部门实施审核，主资产价值.程序中规定了资产的保密赋值、完整性和可用性的

要审核各个部门的信息安全风险评估和级别同保密性赋值等。

处置，按照公司的制定风险管理程序规重要资产计算：重要度等级分值X*I*A：分为高、中、低三级，

划是如何执行的，重点审核部门或业务中、商的为重要资产。现场提供《信息资产识别清单》《重要

过程的信息安全风险评估和处置过程：信息资产识别表》：

部门信息安全风险评估和处置记录，可共识别信息资产总数：414项，型要资产总数：53项.其中，

能是独立的，也可能汇总在公司的信息

使件类：15项，软件类：15项，信息类：153项，服务类：

安全风险评估和处置记录中；对部门的

24项，人员类：59项，信息系统类：6项，其它类：0项等.

信息安全风险评估的审核，其重点是审

核部门或业务过程的信息安全风险识别《风险评估管理程序》定义了，风险值=影响度*发生可能性；

是否齐全，控制措施是否有效：风验级别为高、中、低，以及风险取值范围和接受准则.将风

险划分为五级，等级越高，风险越高。风险等级达到三级为不

可接受风险，三废以下为可接受风险，不可接受风险由风险评

估小组制定风险评估计划，并由各贵任部门负贵实施,设定资