網(wǎng)絡(luò)安全審計服務(wù)資質(zhì)認(rèn)證自評價表

1、網(wǎng)絡(luò)安全審計服務(wù)資質(zhì)認(rèn)證自評估表填表要求：該服務(wù)中涉及的程序文件，須經(jīng)本單位批準(zhǔn)并發(fā)布。組織名稱申報級別評估時間評估部門/人員序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合1.服務(wù)技術(shù) 要求建立網(wǎng)絡(luò)安全審計服務(wù)流程。提供建立的網(wǎng)絡(luò)安全審計服務(wù)流 程，流程中應(yīng)包括每個階段對應(yīng)的 職責(zé)、輸入輸出等。2.制定網(wǎng)絡(luò)安全審計服務(wù)規(guī)范并按照規(guī)范 實施。提供已制定的網(wǎng)絡(luò)安全審計服務(wù) 規(guī)范。3.基本資格二級初次認(rèn)證無項目要求。三級監(jiān)督要求：申請三級資質(zhì)認(rèn)證的單 位，至少已經(jīng)完成1個完整的網(wǎng)絡(luò)安全審 計項目，具備確定審計目標(biāo)和范圍、確定 審計依據(jù)的能力；具備實施現(xiàn)場審計、報 告審計發(fā)現(xiàn)和形成

2、審計結(jié)論的能力；具備提出審計建議的能力。提供一個已完成的審計項目的合 同、驗收的證明材料，包括確定審 計目標(biāo)和范圍、確定審計依據(jù)的能 力；實施現(xiàn)場審計、報告審計發(fā)現(xiàn) 和形成審計結(jié)論的能力；提出審計 建議的能力的證明材料。4.僅二級要求：申請二級資質(zhì)認(rèn)證的單位， 至少完成6個完整的網(wǎng)絡(luò)安全審計項目 ； 具備確定審計目標(biāo)和范圍、確定審計依據(jù) 的能力；具備頭施現(xiàn)場審計、報告審計發(fā)提供6個已完成的審計項目的合 同、驗收的證明材料，包括確定審 計目標(biāo)和范圍、確定審計依據(jù)的能 力；實施現(xiàn)場審計、報告審計發(fā)現(xiàn)序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合現(xiàn)和形成審計結(jié)論的能力；具備提出審

3、計 建議的能力。和形成審計結(jié)論的能力；提出審計 建議的能力的證明材料。5.僅一級要求：申請一級資質(zhì)認(rèn)證的單位， 至少完成10個項目，3個完整的網(wǎng)絡(luò)安全 審計項目，項目審計目標(biāo)應(yīng)覆蓋至少合 規(guī)、安全、績效等；具備確定審計目標(biāo)和 范圍、確定審計依據(jù)的能力；具備實施現(xiàn) 場審計、報告審計發(fā)現(xiàn)和形成審計結(jié)論的 能力；具備提出審計建議的能力。提供3個完整的網(wǎng)絡(luò)安全審計項目 的合同及驗收的證明材料，項目審 計目標(biāo)應(yīng)覆蓋至少合規(guī)、安全、績 效等；包括確定審計目標(biāo)和范圍、 確疋審計依據(jù)的能力；頭施現(xiàn)場審 計、報告審計發(fā)現(xiàn)和形成審計結(jié)論 的能力；提出審計建議的能力的證 明材料。6.審計對象 識別-了解 被審計方

4、業(yè)務(wù)和IT 情況G1.1.1 a）編制業(yè)務(wù)情況調(diào)研表，并按照調(diào) 研表收集有效信息。提供業(yè)務(wù)情況調(diào)研表7.G1.1.1 b）編制IT情況調(diào)研表，并按照調(diào)研 表收集有效信息。提供IT情況調(diào)研表8.（適用于一、二級） G2.1.1 a） 編制審 計對象列表，包括審計對象的數(shù)量、容量、 功用、版本等屬性。提供審計對象列表，應(yīng)包括審計對 象的數(shù)量、容量、功用、版本等屬 性9.（適用于一、二級） G2.1.1 b） 梳理被 審計方業(yè)務(wù)邏輯、應(yīng)用系統(tǒng)處理邏輯和 IT 基礎(chǔ)設(shè)施架構(gòu)。提供被審計方業(yè)務(wù)邏輯、應(yīng)用系統(tǒng) 處理邏輯和IT基礎(chǔ)設(shè)施架構(gòu)的分 析證明材料10.（適用于一級）G3.1.1 a） 應(yīng)利用應(yīng)用 系

5、統(tǒng)工具來建立和管理審計對象庫。提供利用應(yīng)用系統(tǒng)工具建立和管 理審計對象庫的過程證明（可提供 相關(guān)工具的功能介紹、界面截圖 等）11.（適用于一級）G3.1.1 b） 具備為被審 計方提供審計對象管理工具的能力。12.審計對象G1.1.2 a）有效掌握 被審計方組織結(jié)構(gòu)。提供了解和分析被審計方組織結(jié)序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合調(diào)研-了解 被審計方 組織管理 和IT管理 情況構(gòu)及崗位職責(zé)等方法說明，如調(diào)研表等。13.G1.1.2 b）有效掌握被審計方IT管理情況。提供了解和分析被審計方IT管理情況的方法說明，如調(diào)研表等。14.G1.1.2 c） 了解被審計方I

6、T支撐業(yè)務(wù)的對 應(yīng)關(guān)系。提供了解和分析被審計方IT支撐業(yè)務(wù)的對應(yīng)關(guān)系說明，如分析表格 模板。15.G1.1.2 d）對網(wǎng)絡(luò)安全審計的風(fēng)險進行初 步評價。提供網(wǎng)絡(luò)安全審計風(fēng)險評價方法， 如評價程序，評價報告模板等。16.（適用于一、二級） G2.1.2 a）梳理被 審計方規(guī)章制度文件，形成審計項并編制 對應(yīng)檢杳表。提供規(guī)章制度文件審計項及檢杳 表模板及案例。17.（適用于一、二級） G2.1.2 b）編制完 整審計調(diào)研報告，并說明審計重點審計 項。提供審計調(diào)研報告案例，并說明審 計重點審計項。18.G2.1.2 c）制定審計風(fēng)險評價準(zhǔn)則，評價審計風(fēng)險，為確定重點審計項和明確審計內(nèi) 容提供依據(jù)。提

7、供審計風(fēng)險評價準(zhǔn)則，提供審計 風(fēng)險評價報告案例。19.（適用于一級）G3.1.2應(yīng)建立審計調(diào)研報 告分級復(fù)核程序，明確規(guī)定各級復(fù)核人員 的要求和責(zé)任。提供所建立的審計調(diào)研報告分級 復(fù)核程序，明確規(guī)定各級復(fù)核人員 的要求和責(zé)任。提供復(fù)核記錄案 例。20.編制審計 實施方案- 確定網(wǎng)絡(luò)G1.2.1 a）確定網(wǎng)絡(luò)安全審計項目的目標(biāo)。提供確定審計目標(biāo)的方法，如審計 目標(biāo)描述模板等。21.G1.2.1 b）網(wǎng)絡(luò)安全審計目標(biāo)可以包括信 息化政策合規(guī)性、網(wǎng)絡(luò)安全建設(shè)和績效、序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合安全審計 目標(biāo)政務(wù)系統(tǒng)整合和數(shù)據(jù)共享、個人信息保護 和數(shù)據(jù)保護、信息化

8、項目建設(shè)績效與合 規(guī)、信息系統(tǒng)有效性和可靠性、信息系統(tǒng) 應(yīng)急響應(yīng)能力等。22.（適用于一、二級）G2.2.1網(wǎng)絡(luò)安全審計 目標(biāo)應(yīng)經(jīng)過評審，并與被審計方達成一 致。提供網(wǎng)絡(luò)安全審計目標(biāo)評審記錄 案例。23.編制審計 實施方案- 確定網(wǎng)絡(luò) 安全審計 依據(jù)G1.2.2 a）應(yīng)根據(jù)具體審計目標(biāo)，準(zhǔn)確確 疋審計依據(jù)。提供確定審計依據(jù)的方法，如審計 目標(biāo)與審計依據(jù)對應(yīng)關(guān)系表格模 板等。24.G1.2.2 b）網(wǎng)絡(luò)安全審計依據(jù)可以是國家 法律法規(guī)、國際國內(nèi)相關(guān)標(biāo)準(zhǔn)、被審計方 的有關(guān)規(guī)章程序，以及審計委托方指定的 其它審計依據(jù)。25.（適用于一、二級）G2.2.2應(yīng)建立并維護 常用審計依據(jù)庫，并確保審計依據(jù)是

9、當(dāng)前 適用版本。提供審計依據(jù)庫目錄，并提供審計 依據(jù)版本管理的方法。26.（適用于一級）G3.2.2 a）應(yīng)利用應(yīng)用 系統(tǒng)工具來建立和維護常用審計依據(jù)庫， 并確保審計依據(jù)是當(dāng)前適用版本。提供利用應(yīng)用系統(tǒng)工具建立和維 護審計依據(jù)庫的過程證明（可提供 相關(guān)工具的功能介紹、界面截圖 等）27.（適用于一級）G3.2.2 b）具備為被審 計方提供審計依據(jù)管理工具的能力。28.編制審計 實施方案- 確定網(wǎng)絡(luò) 安全審計G1.2.3 a）應(yīng)根據(jù)審計目標(biāo)和審計依據(jù)，確疋審計氾圍。審計氾圍應(yīng)包括組織機構(gòu)氾 圍、業(yè)務(wù)范圍、IT基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)范 圍等。提供確定審計范圍的方法，如審計 目標(biāo)、審計依據(jù)和審計范圍的對

10、應(yīng) 關(guān)系表格模板等。序要點條款需提供證明材料自評估 結(jié)論證明材料清單號符合不 符 合29.范圍和審 計內(nèi)容G1.2.3 b）應(yīng)根據(jù)審計依據(jù)和范圍，確定審計內(nèi)容。審計內(nèi)容應(yīng)劃分到具體審計事 項，明確每一個審計事項的審計要點和審 計方法及所需資源。提供確定審計內(nèi)容的方法，如審計 依據(jù)、審計范圍和審計內(nèi)容的對應(yīng) 關(guān)系表格模板。30.G1.2.3 c） 審計方法及所需資源應(yīng)包 括審計人員、計劃時間安排、審計工具， 以及可操作的審計方法和流程。提供不冋審計內(nèi)容對應(yīng)的審計方 法和所需審計所需資源的模板。31.（適用于一、二級）G2.2.3應(yīng)建立審計范圍、審計對象、審計依據(jù)要求項、審計 程序（方法）、所需資

11、源的對應(yīng)關(guān)系。提供審計范圍、審計對象、審計依 據(jù)要求項、審計程序（方法）、所需資源的對應(yīng)關(guān)系模板和案例。32.（適用于一級）G3.2.3 a） 應(yīng)利用應(yīng)用 系統(tǒng)工具來建立和維護審計范圍、 審計對 象、審計依據(jù)要求項、審計程序（方法）、 所需資源的對應(yīng)關(guān)系。提供利用應(yīng)用系統(tǒng)工具來建立和 維護審計范圍、審計對象、審計依 據(jù)要求項、審計程序（方法）、所需資源的對應(yīng)關(guān)系的過程證明（可 提供相關(guān)工具的功能介紹、界面截 圖等）33.（適用于一級）G3.2.3b） 具備為被審 計方提供審計范圍、審計對象、審計依據(jù) 要求項、審計程序（方法）、所需資源等 對應(yīng)關(guān)系管理工具的能力。34.編制審計 實施方案- 組建

12、審計 組G1.2.4 a） 應(yīng)考慮審計目標(biāo)、審計內(nèi)容、 審計范圍等組建審計組。提供審計組管理相關(guān)規(guī)定。35.G1.2.4 b）選擇審計組成員應(yīng)滿足通用評 價要求的人員能力要求，同時應(yīng)滿足審計和網(wǎng)絡(luò)安全審計基礎(chǔ)流程中的人員能力 要求。提供審計組成員能力評價相關(guān)規(guī)36.（適用于一、二級）G2.2.4應(yīng)指定審計組提供包括審計組長、主審和審計組序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合長、主審和審計組成員，并明確分配審計 任務(wù)。成員的已組建的審計組案例。37.（適用于一級） G3.2.4對于特定行業(yè)領(lǐng) 域的網(wǎng)絡(luò)安全審計， 應(yīng)具備聘請外部行業(yè) 技術(shù)專家作為審計組成員的安排。提供對

13、于特定行業(yè)領(lǐng)域網(wǎng)絡(luò)安全 審計項目，能夠聘請外部行業(yè)技術(shù) 專豕作為審計組成員的規(guī)疋。38.審計取證G1.3.1 a）應(yīng)選擇適當(dāng)?shù)姆椒ǎ?在現(xiàn)場審計 或非現(xiàn)場審計活動中獲取審計證據(jù)。審計取證的方法可以是訪談、文件和記錄調(diào) 閱、審計項檢查表、系統(tǒng)操作驗證、審計 工具、函證等。提供審計取證方法，可以是訪談提 綱、文件和記錄調(diào)閱單、審計項檢 查表、系統(tǒng)操作驗證流程、審計工 具、函證模板等之一或多種。39.G1.3.1 b）在獲取審計證據(jù)過程中，應(yīng)選擇適當(dāng)?shù)某闃臃绞?。提供審計過程中抽樣安排的相關(guān) 規(guī)定。40.G1.3.1 c）應(yīng)米取必要措施，保證審計證據(jù)的相關(guān)性、可靠性和充分性。提供保障審計證據(jù)的相關(guān)性、

14、可靠 性和充分性的相關(guān)措施或規(guī)定。41.與評價-審計取證（適用于一、二級）G2.3.1 a）應(yīng)具備至 少利用一種網(wǎng)絡(luò)安全審計工具執(zhí)行審計 取證的能力。提供至少一種利用網(wǎng)絡(luò)安全審計 工具執(zhí)行審計取證的記錄。42.（適用于一、二級） G2.3.1 b） 對電子 形式存在的審計證據(jù)，應(yīng)做好取證記錄， 并經(jīng)被審計方相關(guān)人員確認(rèn)。提供電子形式的審計證據(jù)的取證 記錄，包括被審計方確認(rèn)的記錄。43.（適用于一、二級） G2.3.1 c） 應(yīng)米取 必要的措施，保護取證過程中所采集的電 子數(shù)據(jù)的安全。提供保障電子數(shù)據(jù)的安全措施或 規(guī)定。44.序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合45

15、.（適用于一級）G3.3.1 a）應(yīng)至少具備 和使用數(shù)據(jù)分析類、漏洞和缺陷掃描類、 系統(tǒng)配置和運行日志檢查類等類型的審 計工具的能力。提供數(shù)據(jù)分析類、漏洞和缺陷掃描 類、系統(tǒng)配置和運行日志檢查類等 類型審計工具列表，提供使用這些 工具開展審計的記錄（可以是相關(guān) 工具的功能介紹、界面截圖等）。46.（適用于一級）G3.3.1 b）利用審計工 具取證時，應(yīng)采取措施確保對審計對象的 風(fēng)險最小化。提供使用審計工具開展審計的相 關(guān)操作規(guī)定，包括降低風(fēng)險的措 施。47.審計取證 與評價-編 制審計工 作底稿G1.3.2 a）應(yīng)在審計取證完成后，編制審計工作底稿或?qū)徲嬋∽C單。提供審計工作底稿或?qū)徲嬋∽C單 模

16、板。48.G1.3.2 b）審計工作底稿應(yīng)內(nèi)容完整、記錄 清晰、結(jié)論明確，客觀地反映項目審計方 案的編制及實施情況，以及與形成審計結(jié) 論、意見和建議有關(guān)的所有重要事項。49.G1.3.2 c）審計工作底稿應(yīng)經(jīng)被審計方簽 字確認(rèn)。50.（適用于一、二級） G2.3.2 a） 應(yīng)建立 審計工作底稿的分級復(fù)核程序， 明確規(guī)定 各級復(fù)核人員的要求和責(zé)任。提供審計工作底稿的分級復(fù)核程 序，包括各級復(fù)核人員的職責(zé)描 述。51.（適用于一、二級） G2.3.2 b） 審計工 作底稿的內(nèi)容應(yīng)包括但不限于被審計部 門的名稱，審計事項及其期間或者截止日 期，審計程序的執(zhí)行過程及結(jié)果記錄，審 計結(jié)論、意見及建議，審

17、計人員姓名和審 計日期，復(fù)核人員姓名、復(fù)核日期和復(fù)核提供審計工作底稿案例，底稿內(nèi)容 包括但不限于被審計部門的名稱， 審計事項及其期間或者截止日期， 審計程序的執(zhí)行過程及結(jié)果記錄， 審計結(jié)論、意見及建議，審計人員 姓名和審計日期，復(fù)核人員姓名、序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合意見，編號及頁次，被審計方意見、附件 等。復(fù)核日期和復(fù)核意見，編號及頁 次，被審計方意見、附件等。52.（適用于一級）G3.3.2 a）應(yīng)利用應(yīng)用 系統(tǒng)工具來歸檔和保管審計工作底稿。提供利用應(yīng)用系統(tǒng)工具來歸檔和 保管審計工作底稿的過程證明（可 提供相關(guān)工具的功能介紹、界面截 圖等）。53.（

18、適用于一級）G3.3.2 b）具備為被審 計方提供審計工作底稿管理工具的能力。54.編制審計 工作底稿> . IB /人G1.3.3 a） 應(yīng)對審計證據(jù)與審計依據(jù) 的符合性進行評價，以形成審計發(fā)現(xiàn)，審 計發(fā)現(xiàn)應(yīng)明確審計項符合或不符合審計 依據(jù)的程度，該程度可以用不冋級別來表 示。提供審計發(fā)現(xiàn)模板。55.G1.3.2 b）網(wǎng)絡(luò)安全審計評價應(yīng)客觀、公正地反映被審計單位信息系統(tǒng)的真實 情況。提供網(wǎng)絡(luò)安全審計評價原則或相 關(guān)規(guī)定。56.-審計評價（適用于一、二級）G2.3.3應(yīng)編制審計發(fā) 現(xiàn)列表。提供審計發(fā)現(xiàn)列表案例。57.（適用于一級）G3.3.3 a）應(yīng)利用應(yīng)用系統(tǒng)工具來管理審計發(fā)現(xiàn)列表。提

19、供利用應(yīng)用系統(tǒng)工具來管理審58.（適用于一級）G3.3.3 b）具備為被審 計方提供審計發(fā)現(xiàn)列表管理工具的能力。計發(fā)現(xiàn)的過程證明（可提供相關(guān)工 具的功能介紹、界面截圖等）。59.審計報告 -一般原則G1.4.1 a）應(yīng)實事求是地反映被審計事項 的事實。提供網(wǎng)絡(luò)安全審計報告模板60.G1.4.1 b）應(yīng)要素齊全、格式規(guī)范，完整反 映審計中發(fā)現(xiàn)的重要問題。61.G1.4.1 c）充分考慮審計項目的重要性和序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合風(fēng)險水平，對于重要事項應(yīng)當(dāng)重點說明。62.G1.4.1 d）提出可行的改進建議，以促進被審計方信息系統(tǒng)有效支撐其業(yè)務(wù)的目標(biāo)。63.

20、（適用于一、二級）G2.4.1應(yīng)建立審計報 告分級復(fù)核程序，明確規(guī)定各級復(fù)核人員 的要求和責(zé)任。提供審計報告分級復(fù)核程序（可與G2.3.2 a）的程序結(jié)合），包括各級復(fù) 核人員的職責(zé)描述。64.（適用于一級）G3.4.1應(yīng)利用應(yīng)用系統(tǒng) 工具來管理審計報告。提供利用應(yīng)用系統(tǒng)工具來管理審 計報告的過程證明（可提供相關(guān)工 具的功能介紹、界面截圖等）。65.審計報告-審計報告 的內(nèi)容G1.4.2 a）審計報告應(yīng)完整、準(zhǔn)確地反映審 計結(jié)果，內(nèi)容應(yīng)包括審計概況、審計依據(jù)、 審計發(fā)現(xiàn)、審計結(jié)論、審計意見等。提供審計報告模板，內(nèi)容應(yīng)包括審 計概況、審計依據(jù)、審計發(fā)現(xiàn)、審 計結(jié)論、審計意見等。提供適用的 審計報

21、告附件模板。66.G1.4.2 b）需要時，審計報告可以增加附 件。附件內(nèi)容可包括針對審計過程、審計 中發(fā)現(xiàn)問題所作出的具體說明，以及被審計單位的反饋意見等內(nèi)容。67.（適用于一、二級）G 2.4.2 a）審計報告中應(yīng)提出審計發(fā)現(xiàn)問題改進建議。提供審計報告案例。報告中應(yīng)包括 審計發(fā)現(xiàn)問題改進建議。68.（適用于一、二級）G2.4.2應(yīng)建立程序，對已經(jīng)出具的審計報告可能存在的重要 錯誤或者遺漏及時更正，并將更正后的審計報告提交給原審計報告接收者。提供審計報告管理規(guī)定，包括對審 計報告內(nèi)容更正及重新提交的流 程進行規(guī)定。69.（適用于一級）G3.4.2在審計的任何階段， 如果遇到或發(fā)現(xiàn)與審計目標(biāo)和

22、內(nèi)容有關(guān) 的重大問題，如違法違規(guī)問題、重大安全提供審計專報模板或?qū)徲媽蟀?例。序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合風(fēng)險等，應(yīng)出具審計專報。70.審計報告-交付審計 報告G1.4.3 a）應(yīng)建立審計報告的批準(zhǔn)和交付 程序，保留交付記錄。提供審計報告的批準(zhǔn)和交付相關(guān) 規(guī)定。71.G1.4.3 b）應(yīng)在審計委托方或被審計方約 定的時間內(nèi)交付，如延遲交付，應(yīng)向?qū)徲?委托方和被審計方說明理由。提供審計報告的交付管理規(guī)定。包 括交付時間安排等。72.（適用于一、二級） G2.4.3 a） 應(yīng)建立 審計報告歸檔和保管程序。任何組織或者 個人查閱和使用歸檔后的審計報告，必須經(jīng)審

23、計機構(gòu)負(fù)責(zé)人批準(zhǔn)，但國家有關(guān)部門依法進行查閱的除外。提供審計報告歸檔和保管管理相 關(guān)規(guī)定。73.（適用于一、二級） G2.4.3 b）審計報 告歸被審計方所有，被審計方對審計報告 的使用、保管等有明確要求的，應(yīng)遵守其 要求。提供審計報告管理相關(guān)規(guī)定，包括 報告的歸屬安排等。74.（適用于 級）G3.4.3具備為被審計方提 供審計報告管理工具的能力。提供為被審計方所用的審計報告 管理工具。75.跟蹤審計-一般原則G1.5.1 a）應(yīng)安排對審計發(fā)現(xiàn)問題的整改 措施和整改措施的效果進行跟蹤審計。提供審計發(fā)現(xiàn)問題的整改措施模 板。76.G1.5.1 b）應(yīng)與被審計方約定在規(guī)定的時 間內(nèi)容實施跟蹤審計，一般自審計報告交付起不超過6個月。提供跟蹤審計報告的交付管理規(guī) 定，包括交付時間安排。77.（適用于一、二級）G2.5.1應(yīng)編制跟蹤審 計方案，對后續(xù)審計做出安排。提供跟蹤審計方案案例。序 號要點條款需提供證明材料自評估 結(jié)論證明材料清單符合不 符 合78.跟蹤審計- 跟蹤審計 報告G1.5.2 a）應(yīng)當(dāng)根據(jù)跟蹤審計的實施過程 和結(jié)果編制跟蹤審