应用系统安全审计规范（完整版）.docxVIP

应用系统安全审计规范（完整版）

第一章总则

一、规范适用范围

1.本规范适用于所有正式上线运行的自研、外购、委托开发的各类应用系统，覆盖Web端业务系统、移动端APP、微信小程序、后台运维管理系统、物联网应用端、第三方接入的业务服务系统等所有类型的信息系统。

2.本规范要求所有承载用户个人信息、企业核心经营数据、政务敏感数据的应用系统，必须严格按照本规范要求开展全流程安全审计工作，不得随意降低审计标准。

二、编制依据与实施目标

1.本规范所有条款严格对标现行国家及行业相关法规标准，包括《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全技术网络安全等级保护基本要求》GB/T22239-2019、《信息安全技术应用系统安全审计指南》GB/T34945-2017、《网络安全等级保护测评要求》GB/T28448-2019。

2.本规范实施核心目标是消除应用系统全生命周期内的安全管控盲区，防范非法入侵、数据泄露、违规操作、权限滥用等安全风险，保障系统全年可用率不低于99.9%，核心敏感数据泄露事件发生率降至0。

第二章审计组织与人员配置要求

一、审计组织架构设置规则

1.员工规模100人以下的企事业单位，需在信息安全部门下设立独立的应用系统安全审计组，配置不少于2名专职审计人员；员工规模100-300人的单位，审计组人员