公司信息系统安全审计管理制度(可编辑).doc

公司信息系统安全审计管理制度(可编辑) 精选资料蒙西华中铁路股份有限公司信息系统安全审计管理制度第一章工作职责安排第一条安全审计员职责制定信息安全审计的范围和日程管理具体的审计过程分析审计结果并提出对信息安全管理体系的改进意见召开审计启动会议和审计总结会议向主管领导汇报审计的结果及建议为相关人员提供审计培训。

第二条评审员由审计负责人指派协助主评审员进行评审其职责是：准备审计清单实施审计过程完成审计报告提交纠正和预防措施建议审查纠正和预防措施的执行情况。

第三条受审员来自相关部门配合评审员的审计工作落实纠正和预防措施提交纠正和预防措施的实施报告。

第二章审计计划的制订第四条审计计划应包括以下内容：审计的目的审计的范围审计的准则审计的时间主要参与人员及分工情况。

第五条制定审计计划应考虑以下因素：每年应进行至少一次涵盖所有部门的审计当进行重大变更后（如架构、业务方向等）需要进行一次涵盖所有部门的审计。

第三章安全审计实施第六条审计的准备评审员需事先了解审计范围相关的安全策略、标准和程序准备审计清单其内容主要包括：()需要访问的人员和调查的问题()需要查看的文档和记录（包括日志）()需要现场查看的安全控制措施。

第七条在进行实际审计前召开启动会议其内容主要包括：评审员与受审员一起确认审计计划和所采用的审计方式如在审计的内容上
有异议受审员应提出声明（例如：限制可访问的人员、可调查的系统等）向受审员说明审计通过抽查的方式来进行。

第八条审计方式包括面谈、现场检查、文档的审查、记录（包括日志）的审查。

第九条评审员应详细记录审计过程的所有相关信息。

在审计记录中应包含下列信息：审计的时间被审计的部门和人员审计的主题观察到的违规现象相关的文档和记录比如操作手册、备份记录、操作员日志、软件许可证、培训记录等审计参考的文档比如策略、标准和程序等参考所涉及的标准条款审计结果的初步总结。

第十条如怀疑与相关安全标准有不符合项的情况审计员应记录所观察到的详细信息(如在何处、何时所涉及的人员、事项和具体的情况等)并描述其为什么不符合。

关于不符合的情况应与受审员达成共识。

第十一条在每项审计结束时应准备审计报告审计报告应包括：审计的范围审计所覆盖的安全领域审计结果的总结不符合项不符合项的具体描述和相关证据纠正和预防措施的建议。

第十二条不符合项是指与等级保护基本要求不一致的情况。

产生不符合项可能是由于与相关的规定不一致包括：等级保护基本要求信息安全策略相关标准和程序相关法律条款本单位的相关规定任何其它在客户合同中规定的要求。

第十三条不符合项可以细分为“主要”或“次要”。

如果所发现的不符合项属于下列任何一种情况此不符合项应被分
类为“主要”的：会导致系统、程序或控制措施整体失效操作过程没有形成标准的文档累计多个同一类型的“次要”不符合项对信息安全管理体系的未授权变更。

如果所发现的不符合项属于个别事件此不符合项将被分类为“次要”的例如：()未标识信息安全分类的文档()没有被管理层审阅的事故报告()不完整的变更记录()不完整的机房进出记录。

第十四条造成不符合项的原因可以分为以下几种：其文档化的标准和程序与信息安全策略不一致实际的操作与文档化的标准和程序要求不一致实际的操作没有达到预期效果。

第四章安全审计汇报第十五条召开审计总结会议。

应总结汇报以下内容：审计的目标和范围审计的时间参与审计的人员审计报告（包括纠正和预防措施的建议）提交审计报告的副本供受审员参考。

第十六条在总结会议上受审员应阐述任何疑问。

第五章纠正和预防措施第十七条纠正和预防措施应该包括问题描述、根本原因、应急措施（可选）、纠正措施以及预防措施。

第十八条受审员必须制定纠正和预防措施的实施计划。

第十九条受审员应在规定时间内向评审员提交纠正和预防措施的实施报告。

第六章审计纠正和预防措施的实施状况第二十条评审员应在受审员提交报告的个月内审计纠正和预防措施的实施状况。

第二十一条审计纠正和预防措施应包括：面谈、现场检查、文档
的审查以及记录（包括日志）的审查。

第二十二条评审员根据受审员提交的纠正和预防措施实施报告收集、记录和审查相关证据。

第七章审计结果的审阅第二十三条安全审计员应审阅和分析所有审计结果。

第二十四条受审员的领导在审阅审计结果时应分析的事件包括审计计划、此次审计结果和上次审计结果的比较、纠正和预防措施。

第八章附则第二十五条本制度由综合部信息办负责解释。

第二十六条本制度自发布之日起生效执行。