云平台信息安全审计制度

XXX

云平台信息安全审计

文件修订及复核记录

目录

第一章总则 (4)

第二章人员及职责 (4)

第三章日志审计的步骤 (5)

第四章日志审计的目标和内容 (7)

第五章管理制度和技术规范的检查步骤 (8)

第七章管理制度和技术规范的检查内容 (9)

第八章检查表 (10)

第九章相关记录 (10)

第十章相关文件 (10)

第十一章附则 (10)

附件一：体系管理制度和技术规范控制点重点检查的内容及方法 (11)

第一章总则

第一条目的：为加强电子政XXX务云平台的内部审计工作，建立健全内部审计制度，明确内部审计职责，通过对人工和安全设备收集到的大量审计行为记录进行检查，

以监督不当使用和非法行为，并对发生的非法操作行为进行责任追查。同时根据

XXX信息委的各种与信息安全的相关的制度和技术手段进行检查,确保XXXXXX云

平台中所有设备正常运行；

第二条适用范围：包括对各系统日志的审计和安全管理制度及技术规范符合性检查。

第二章人员及职责

第三条本制度指定XXXX作为XXXXXX云平台的信息安全审计组织，负责实施XXX云平台内部审核或对外审核，协助外部第二方/第三方审核；审核组的工作应该直接向

信息安全领导小组汇报；实施独立审核，确保信息安全管理系统各项控制及组成

部分按照策略要求运行良好，确保信息安全管理体系的完整性、符合性和有效性；第四条与审计制度相关的人员分为审计人和被审计人。审计人除了XXXX安全审计员外，还需设立信息安全协调员指导和配合安全审计员的工作。被审计的人及系统为

XXXXXX云平台的信息安全执行人员，包括综服务器虚拟资源池、云桌面虚拟资

源池等和其相关的管理、维护和使用人员等；

第五条XXX云平台的审计相关人员根据X规划战略、年度工作目标，以及上级的部署，拟订审计工作计划，报经XXX领导批准后实施审计工作。除年度审计计划外，也

可根据工作需要或XXX领导的要求配合上级部进行非定期的专项审计、后续审计

等其他审计事项；

第六条信息安全审计员的角色和职责

本着安全管理权限分离的原则，信息安全审计员岗位要独立于其他角色管理员和

各类系统使用人员。

信息安全审计员和本制度相关职责如下：

➢负责XXXXXX云平台安全审计制度的建设与完善工作；

➢信息安全审计员要对人工收集到的大量审计行为记录进行检查，以监督对XXXXXX云平台的不当使用和非法行为；

➢定期执行安全审计检查，对XXX云平台的安全状况进行分析评估，向上级主管提供系统安全状况审计报告和改进措施等。

第七条信息安全主管和本制度相关职责是：

➢负责指导和协助XXX云平台建立安全审计制度并协调相关工作，以确保安全审计工作的顺利进行；

➢对发生的非法操作行为进行责任追查；

➢审查信息安全审计员的审计报告并汇报上级部门领导。

第八条信息安全执行组人员，包括各系统(网络设备，安全产品，主机，数据库和应用系统)的管理维护人员负责维护各自系统正常运行的同时必须向审计人员提供审

计所需的各种信息（如各系统的日志，系统升级、备份、加固、权限及配置变更

等各种操作记录）以配合审计人员完成审计工作；

第九条其他与审计相关的人员的职责参见信息安全岗位管理规定。

第三章日志审计的步骤

第十条日志收集

➢目的

全面收集入侵者，内部恶意用户或合法用户误操作的相关信息，以便进一步的查看和分析。防止重要的日志信息收集的遗漏。

➢具体要求

需要根据各种系统的安全设置方法设定重要事件的日志审计（详细参见《云平台系统运维和日志管理规定》），如对安全设备的登入事件、用户增减事件、用户权限及属性修改事件、访问规则修改事件、系统开启或关闭事件、系统配置修改事件、安全告警事件，系统版本更新升级等事件的日志审计，包括所有系统特权命令的使用都必须被全面的记录；

第十一条对日志查看与分析

➢目的

分析存在安全威胁的原因，以便制定相应的对策。

➢日志查看和分析具体要求

●日志可以作为证据，提供安全事故调查；

●信息安全主管需要定期查看各系统的安全管理员是否根据其职责进行

安全的维护，包括日常的运维操作记录和日志；

●信息安全审计员需要在信息安全主管的配合下对所有日志事件进行分

类，划分不同的安全事件等级，并分析存在威胁的原因；

●信息安全审计员整理并编写安全分析报告，定期向上级汇报日志报表中

存在的安全威胁其中包括：

✓安全威胁的统计；

✓新威胁的列表；

✓威胁同比增长率；

✓安全威胁的防范。

●审计人员与使用人员沟通

将重点审计对象的访问特点反馈给这些对象的使用者，尤其是各自的管理员；

对于发现存在异常信息的审计对象，将这些信息告知相关管理员和操作者，并要

求他们给出合理的解释。

第十二条审计月报

以审计数据作为基础抽样对象，汇总成为审计月报，经相关领导审核、批准后，向全X人员公布。

审计月报的内容：

➢必须明确安全审计的范围；

➢必须明确安全审计的标准或原则；

➢必须明确安全审计的检查清单；

➢必须列举所有安全问题和安全隐患，并按照严重程度进行划分；

➢必须列举所有安全问题和安全隐患的有关责任人员或责任部。

第十三条审计后续追踪

所有在日志审计过程中发现的各种违规行为，一旦经XXXX确认后，由XXXX负责人通报给有关责任部门，并要求在规定时间内有关责任部提出解决方案和处理报告，XXXX 负责监督各违规行为是否纠正，并做相关的记录。信息安全审计员，负责检查信息安全主管的相关记录以确保纠正措施都得到了实施。