信息系统安全审计管理制度.pdf

信息系统安全审计管理制度

信息系统安全审计管理制度

第一章工作职责安排

第一条安全审计员的职责是：

1.制定信息安全审计的范围和日程；

2.管理具体的审计过程；

3.分析审计结果并提出对信息安全管理体系的改进意见；

4.召开审计启动会议和审计总结会议；

5.向主管领导汇报审计的结果及建议；

6.为相关人员提供审计培训。

第二条评审员由审计负责人指派，协助主评审员进行评审，

其职责是：

1.准备审计清单；

2.实施审计过程；

3.完成审计报告；

4.提交纠正和预防措施建议；

5.审查纠正和预防措施的执行情况。

第三条受审员来自相关部门，其职责是：

1.配合评审员的审计工作；

2.落实纠正和预防措施；

3.提交纠正和预防措施的实施报告。

第二章审计计划的制订

第四条审计计划应包括以下内容：

1.审计的目的；

2.审计的范围；

3.审计的准则；

4.审计的时间；

5.主要参与人员及分工情况。

第五条制定审计计划应考虑以下因素：

1.每年应进行至少一次涵盖所有部门的审计；

2.当进行重大变更后（如架构、业务方向等），需要进行一次

涵盖所有部门的审计。

第三章安全审计实施

第六条审计的准备：

1.评审员需事先了解审计范围相关的安全策略、标准和程序；

2.准备审计清单，其内容主要包括：

1)需要访问的人员和调查的问题；

2)需要查看的文档和记录（包括日志）；

3)需要现场查看的安全控制措施。

第七条在进行实际审计前，召开启动会议，其内容主要包括：

1.评审员与受审员一起确认审计计划和所采用的审计方式，

如在审计的内容上有异议，受审员应提出声明（例如：限制

可访问的人员、可调查的系统等）；

2.向受审员说明审计通过抽查的方式来进行。

第十四条造成不符合项的原因可以分为以下几种：

1.其文档化的标准和程序与信息安全策略不一致；

2.实际的操作与文档化的标准和程序要求不一致；

3.实际的操作没有达到预期效果。

第四章安全审计汇报

第十五条召开审计总结会议。应总结汇报以下内容：

1.审计的目标和范围；

2.审计的时间；

3.参与审计的人员；

4.审计报告（包括纠正和预防措施的建议）；

5.提交审计报告的副本供受审员参考。

第十六条在总结会议上，受审员应阐述任何疑问。

第五章纠正和预防措施

第十七条纠正和预防措施应该包括问题描述、根本原因、应

急措施（可选）、纠正措施以及预防措施。

第十八条受审员必须制定纠正和预防措施的实施计划。

第十九条受审员应在规定时间内向评审员提交纠正和预防

措施的实施报告。

第六章审计纠正和预防措施的实施状况

第二十条评审员应在受审员提交报告的3个月内，审计纠正

和预防措施的实施状况。

第二十一条审计纠正和预防措施应包括：面谈、现场检查、

文档的审查以及记录（包括日志）的审查。

第二十二条评审员根据受审员提交的纠正和预防措施实施

报告，收集、记录和审查相关证据。

第七章审计结果的审阅

第二十三条安全审计员应审阅和分析所有审计结果。

第二十四条受审员的领导在审阅审计结果时，应分析的事件

包括审计计划、此次审计结果和上次审计结果的比较、纠正

和预防措施。

第八章附则

第二十五条本制度由王府医院信息部负责解释。

第二十六条本制度自发布之日起生效执行。