信息安全审计控制程序.docVIP

PAGE / NUMPAGES 安全审计控制程序 1 目的 评价信息安全管理和实践的原则和控制，以维持公司期望的信息安全水平。 2 适用范围 适用于公司的所有管理人员和员工，以及所有为本公司工作，同时接触公司的信息资源的外来人员。 3 术语和定义 4 职责和权限 在信息安全领导办公室的统一组织下实施。 5 工作流程 审计包括两种检查方式： 自我评估 内部/外部审计 5.1 自我评估 为保持各部门内部良好的信息安全管理状态及第一时间发现和处理不符合现象，确定各控制措施的有效性，要求每个部门进行信息安全管理和实践和自我评估并根据需求采取纠正措施。 自我评估通常在信息安全领导办公室的统一安排下，由各部门负责人组织实施。 自我评估通常每年至少进行一次。除此以外，为了提高部门内信息安全管理水平，部门负责人也可以指定其认为必要和合适的时间进行自我评估。 各部门结合本部门的要求和工作实际，制定适合本部门的自我评估的检查表并实施，但必须包括对控制措施符合性和有效性的评估。 自我评估的结果要报告给信息安全领导办公室，由信息安全领导办公室确定纠正措施的计划并指导实施。纠正措施实施计划包括： 对纠正措施的简单描述，包括当前控制措施与和要达到的目标之间的差距分析； 纠正措施的实施时间要求； 纠正措施的实施负责人。 5.2 内部/外部审计 信息安全领导办公室根据业务活动的安全需求，确定是否进行内部/外部审计