3986.net
小网站 大容量 大智慧
赞助商链接
当前位置:首页 >> 信息与通信 >>

8.公司信息系统安全审计管理制度


蒙西华中铁路股份有限公司 信息系统安全审计管理制度
第一章 第一条安全审计员职责 1.制定信息安全审计的范围和日程; 2.管理具体的审计过程; 3.分析审计结果并提出对信息安全管理体系的改进意见; 4.召开审计启动会议和审计总结会议; 5.向主管领导汇报审计的结果及建议; 6.为相关人员提供审计培训。 第二条评审员由审计负责人指派,协助主评审员进行评审, 其职责是: 1.准备审计清单; 2.实施审计过程; 3.完成审计报告; 4.提交纠正和预防措施建议; 5.审查纠正和预防措施的执行情况。 第三条受审员来自相关部门 1.配合评审员的审计工作; 2.落实纠正和预防措施; 工作职责安排

3.提交纠正和预防措施的实施报告。

第二章

审计计划的制订

第四条审计计划应包括以下内容: 1.审计的目的; 2.审计的范围; 3.审计的准则; 4.审计的时间; 5.主要参与人员及分工情况。 第五条制定审计计划应考虑以下因素: 1.每年应进行至少一次涵盖所有部门的审计; 2.当进行重大变更后(如架构、业务方向等) ,需要进行一 次涵盖所有部门的审计。

第三章 第六条审计的准备

安全审计实施

1.评审员需事先了解审计范围相关的安全策略、 标准和程序; 2.准备审计清单,其内容主要包括: (1)需要访问的人员和调查的问题; (2)需要查看的文档和记录(包括日志) ; (3)需要现场查看的安全控制措施。 第七条在进行实际审计前, 召开启动会议, 其内容主要包括:

1.评审员与受审员一起确认审计计划和所采用的审计方式, 如在审计的内容上有异议,受审员应提出声明(例如:限制可访 问的人员、可调查的系统等) ; 2.向受审员说明审计通过抽查的方式来进行。 第八条审计方式包括面谈、 现场检查、 文档的审查、 记录 (包 括日志)的审查。 第九条评审员应详细记录审计过程的所有相关信息。 在审计 记录中应包含下列信息: 1.审计的时间; 2.被审计的部门和人员; 3.审计的主题; 4.观察到的违规现象; 5.相关的文档和记录,比如操作手册、备份记录、操作员日 志、软件许可证、培训记录等; 6.审计参考的文档,比如策略、标准和程序等; 7.参考所涉及的标准条款; 8.审计结果的初步总结。 第十条如怀疑与相关安全标准有不符合项的情况, 审计员应 记录所观察到的详细信息(如在何处、何时,所涉及的人员、事 项,和具体的情况等)并描述其为什么不符合。关于不符合的情 况应与受审员达成共识。 第十一条在每项审计结束时应准备审计报告, 审计报告应包

括: 1.审计的范围; 2.审计所覆盖的安全领域; 3.审计结果的总结; 4.不符合项,不符合项的具体描述和相关证据; 5.纠正和预防措施的建议。 第十二条不符合项是指与等级保护基本要求不一致的情况。 产生不符合项可能是由于与相关的规定不一致,包括: 1.等级保护基本要求; 2.信息安全策略; 3.相关标准和程序; 4.相关法律条款; 5.本单位的相关规定; 6.任何其它在客户合同中规定的要求。 第十三条不符合项可以细分为“主要”或“次要” 。如果所 发现的不符合项属于下列任何一种情况, 此不符合项应被分类为 “主要”的: 1.会导致系统、程序或控制措施整体失效; 2.操作过程没有形成标准的文档; 3.累计多个同一类型的“次要”不符合项; 4.对信息安全管理体系的未授权变更。 如果所发现的不符合 项属于个别事件,此不符合项将被分类为“次要”的,例如:

(1)未标识信息安全分类的文档; (2) 没有被管理层审阅的事故报告; (3) 不完整的变更记录; (4)不完整的机房进出记录。 第十四条造成不符合项的原因可以分为以下几种: 1.其文档化的标准和程序与信息安全策略不一致; 2.实际的操作与文档化的标准和程序要求不一致; 3.实际的操作没有达到预期效果。

第四章

安全审计汇报

第十五条召开审计总结会议。应总结汇报以下内容: 1.审计的目标和范围; 2.审计的时间; 3.参与审计的人员; 4.审计报告(包括纠正和预防措施的建议) ; 5.提交审计报告的副本供受审员参考。 第十六条在总结会议上,受审员应阐述任何疑问。

第五章

纠正和预防措施

第十七条纠正和预防措施应该包括问题描述、根本原因、应 急措施(可选) 、纠正措施以及预防措施。 第十八条受审员必须制定纠正和预防措施的实施计划。

第十九条受审员应在规定时间内向评审员提交纠正和预防 措施的实施报告。

第六章

审计纠正和预防措施的实施状况

第二十条评审员应在受审员提交报告的 3 个月内, 审计纠正 和预防措施的实施状况。 第二十一条审计纠正和预防措施应包括:面谈、现场检查、 文档的审查以及记录(包括日志)的审查。 第二十二条评审员根据受审员提交的纠正和预防措施实施 报告,收集、记录和审查相关证据。

第七章

审计结果的审阅

第二十三条安全审计员应审阅和分析所有审计结果。 第二十四条受审员的领导在审阅审计结果时, 应分析的事件 包括审计计划、此次审计结果和上次审计结果的比较、纠正和预 防措施。 第八章 附则

第二十五条本制度由综合部信息办负责解释。 第二十六条本制度自发布之日起生效执行。



推荐相关:

2016会计继续教育试题

( D A、信息质量 C、信息系统 B、沟通制度 D、...8、人力资源管理的主要风险不包括( 不健全,可能导致...的有效性进行审计 B、企业内部控制审计不必基于特定...


8审计部安全生产责任书(董事长-审计部)

8审计安全生产责任书(董事长-审计部)_解决方案_计划/解决方案_实用文档。...5、严格执行已制定的《公司审计制度》,确审计工作的公正公平合理,确保公司资金 ...


天玥网络安全审计系统-运维安全管控系统-应用发布安装...

天玥网络安全审计系统 运维安全管控系统 应用发布安装...北京启明星辰信息安全技术有限公司 二零一三年七月 ...为避免出现一个黑色的鼠标指针和避免在 win8 下...


8.2 Windows安全策略与审计

8.2 Windows安全策略与审计_计算机软件及应用_IT/计算机...沈阳工程学院 学生实验报告 实验室名称:信息学院网络...者以管理员身份登录系统:打开“控制面板|管理工具”...


...以保证安全规则被正确执行,并帮助分析安全事故产生...

(8)指对主体访问和使用客体的情况进行记录和审查,...A.安全授权B.安全管理C.安全服务D.安全审计正确...对企业信息的安全进行系统地规划、组织、实施以及监控...


继续教育内控答案

8.单位应当实行内部控制关键岗位工作人员的轮岗制度,...A.相互监督 B.业务抽查 C.专项审计 D.风险评估 ...A.系统化 B.信息化 C.高效化 D.机械化 A B ...


keysafety8.0单机版产品手册

keysafety8.0单机版产品手册 - KeySafetyV8.0 产品手册 国瑞信安终端安全登录与监控审计系统 产品手册 Version 8.0 江苏国瑞信安科技有限公司 国瑞信安(北...


八年级德育安全的工作总结例文【精品首发值得参考】

八年级德育安全的工作总结例文【精品首发值得参考】_...《审计法》 、 《审计署关于内部审计工作规定》...办产业改革工作的相关文件,对校办每个企业进行 了清...


2014广西公需科目考试-信息技术与信息安全-题库

有效的内部审计 27.(2 分) 信息安全面临哪些威胁?...A. 信息系统运营、使用单位 8.(2 分) 恶意代码...用 Linux 系统的企业仅需( )年更换一次硬件设备。...


《长江口简讯》报送审核表

公司与经营公司月度安全例会机制,由经营公司确定...内部资料 注意保存 6 2012 年 2 月 宝山区审计局...调研主要内容包括:管理制度执行情况、追溯系统运 行...

网站首页 | 网站地图
3986 3986.net
文档资料库内容来自网络,如有侵犯请联系客服。zhit325@qq.com