信息系统安全审计管理制度
信息系统安全审计管理制度
第一章工作职责安排
第一条安全审计员的职责是:
1. 制定信息安全审计的范围和日程;
2. 管理具体的审计过程;
3. 分析审计结果并提出对信息安全管理体系的改进意见;
4. 召开审计启动会议和审计总结会议;
5. 向主管领导汇报审计的结果及建议;
6. 为相关人员提供审计培训。第二条评审员由审计负责人指派,协助主评审员进行评审,其职责是:
1. 准备审计清单;
2. 实施审计过程;
3. 完成审计报告;
4. 提交纠正和预防措施建议;
5. 审查纠正和预防措施的执行情况。第三条受审员来自相关部门,其职责是:
1. 配合评审员的审计工作;
2. 落实纠正和预防措施;
3. 提交纠正和预防措施的实施报告。
第二章审计计划的制订第四条审计计划应包括以下内容:
1. 审计的目的;
2. 审计的范围;
3. 审计的准则;
4. 审计的时间;
5. 主要参与人员及分工情况。第五条制定审计计划应考虑以下因素:
1. 每年应进行至少一次涵盖所有部门的审计;
2. 当进行重大变更后(如架构、业务方向等),需要进行一次涵盖所有部门的审计。
第三章安全审计实施
第六条审计的准备:
1. 评审员需事先了解审计范围相关的安全策略、标准和程序;
2.准备审计清单,其内容主要包括:
1)需要访问的人员和调查的问题;
2)需要查看的文档和记录(包括日志);
3)需要现场查看的安全控制措施。
第七条在进行实际审计前,召开启动会议,其内容主要包括:1.评审员与受审员一起确认审计计划和所采用的审计方式,如在审计的内容上有异议,受审员应提出声明(例如:限制可访问的人员、可调查的系统等);
精选资料
相关主题