8.公司信息系統(tǒng)安全審計管理制度

1、蒙西華中鐵路股份信息系統(tǒng)平安審計管理制度第一章 工作職責安排第一條 平安審計員職責1. 制定信息平安審計的范圍和日程；2. 管理具體的審計過程；3. 分析審計結(jié)果并提出對信息平安管理體系的改良意見；4. 召開審計啟動會議和審計總結(jié)會議；5. 向主管領導匯報審計的結(jié)果及建議；6. 為相關人員提供審計培訓。第二條 評審員由審計負責人指派， 協(xié)助主評審員進行評審， 其職責是：1. 準備審計清單；2. 實施審計過程；3. 完成審計報告；4. 提交糾正和預防措施建議；5. 審查糾正和預防措施的執(zhí)行情況。第三條 受審員來自相關部門1. 配合評審員的審計工作；2. 落實糾正和預防措施；3. 提交糾正和預防措

2、施的實施報告。第二章 審計方案的制訂 第四條 審計方案應包括以下內(nèi)容：1. 審計的目的；2. 審計的范圍；3. 審計的準那么；4. 審計的時間；5. 主要參與人員及分工情況。第五條 制定審計方案應考慮以下因素：1. 每年應進行至少一次涵蓋所有部門的審計；2. 當進行重大變更后如架構(gòu)、業(yè)務方向等 次涵蓋所有部門的審計。第三章 平安審計實施 第六條 審計的準備1. 評審員需事先了解審計范圍相關的平安策略、2. 準備審計清單，其內(nèi)容主要包括：(1) 需要訪問的人員和調(diào)查的問題 ;(2) 需要查看的文檔和記錄包括日志 ；(3) 需要現(xiàn)場查看的平安控制措施。，需要進行標準和程序；其內(nèi)容主要包第七條 在進

3、行實際審計前， 召開啟動會議，括：1. 評審員與受審員一起確認審計方案和所采用的審計方式， 如在審計的內(nèi)容上有異議， 受審員應提出聲明 例如： 限制可訪 問的人員、可調(diào)查的系統(tǒng)等 ；2. 向受審員說明審計通過抽查的方式來進行。第八條 審計方式包括面談、 現(xiàn)場檢查、文檔的審查、記錄 包括日志的審查。第九條 評審員應詳細記錄審計過程的所有相關信息。 在審 計記錄中應包含以下信息：1. 審計的時間；2. 被審計的部門和人員；3. 審計的主題；4. 觀察到的違規(guī)現(xiàn)象；5. 相關的文檔和記錄，比方操作手冊、備份記錄、操作員日 志、軟件許可證、培訓記錄等；6. 審計參考的文檔，比方策略、標準和程序等；7.

4、 參考所涉及的標準條款；8. 審計結(jié)果的初步總結(jié)。第十條 如疑心與相關平安標準有不符合項的情況， 審計員 應記錄所觀察到的詳細信息 如在何處、何時，所涉及的人員、 事項，和具體的情況等 并描述其為什么不符合。關于不符合的 情況應與受審員達成共識。第十一條 在每項審計結(jié)束時應準備審計報告， 審計報告應 包括：1. 審計的范圍；2. 審計所覆蓋的平安領域；3. 審計結(jié)果的總結(jié)；4. 不符合項，不符合項的具體描述和相關證據(jù)；5. 糾正和預防措施的建議。第十二條 不符合項是指與等級保護根本要求不一致的情況。 產(chǎn)生不符合項可能是由于與相關的規(guī)定不一致，包括：1. 等級保護根本要求；2. 信息平安策略；3

5、. 相關標準和程序；4. 相關法律條款；5. 本單位的相關規(guī)定；6. 任何其它在客戶合同中規(guī)定的要求。第十三條 不符合項可以細分為“主要或“次要 。如果所 發(fā)現(xiàn)的不符合項屬于以下任何一種情況， 此不符合項應被分類為 “主要的：1.會導致系統(tǒng)、程序或控制措施整體失效； 2.操作過程沒有形成標準的文檔；3. 累計多個同一類型的“次要不符合項；4. 對信息平安管理體系的未授權變更。 如果所發(fā)現(xiàn)的不符合項屬于個別事件，此不符合項將被分類為“次要的，例如：(1) 未標識信息平安分類的文檔；(2) 沒有被管理層審閱的事故報告；(3) 不完整的變更記錄；(4) 不完整的機房進出記錄。第十四條 造成不符合項的

6、原因可以分為以下幾種：1.其文檔化的標準和程序與信息平安策略不一致；2.實際的操作與文檔化的標準和程序要求不一致；3. 實際的操作沒有到達預期效果。第四章 平安審計匯報第十五條 召開審計總結(jié)會議。應總結(jié)匯報以下內(nèi)容：1.審計的目標和范圍；2.審計的時間；3. 參與審計的人員；4. 審計報告包括糾正和預防措施的建議 ；5. 提交審計報告的副本供受審員參考。第十六條 在總結(jié)會議上，受審員應闡述任何疑問。第五章 糾正和預防措施第十七條 糾正和預防措施應該包括問題描述、根本原因、 應急措施可選 、糾正措施以及預防措施。第十八條 受審員必須制定糾正和預防措施的實施方案。第十九條 受審員應在規(guī)定時間內(nèi)向評審員提交糾正和預防措施的實施報告。第六章 審計糾正和預防措施的實施狀況第二十條 評審員應在受審員提交報告的 3 個月內(nèi)，審計糾 正和預防措施的實施狀況。第二十一條 審計糾正和預防措施應包括： 面談、現(xiàn)場檢查、 文檔的審查以及記錄包括日志的審查。第二十二條 評審員根據(jù)受審員提交的糾正和預防措施實施報告，收集、記錄和審查相關證據(jù)。第七章 審計結(jié)果的審閱第二十三條第二十四條平安審計員應審閱和分析所有審計結(jié)果