信息安全內審checklist

1、頁眉內容審査內容審査要點檢査時間審核結果發(fā)現(xiàn)是否開展了信息安全的檢査活動？有安全檢查記錄或者報告.和改善記錄L是否制定J'資產清収，包含了所有的客戶信息資產， 包括服務器個人電腦，網(wǎng)絡設備，支持設備.人員，數(shù)據(jù)？2對這些資產淸収是否有定期的更新？L確認資產淸玳正確2確認更新記錄I客戶的資產的保護上而的資產清取上是否標識了所有人和保管人？（要點：確認資產的所有人和保管人被淸楚的 標識，并且和實際悄況相符）是否按客戶文檔的密級規(guī)則進行了適'“1的保護確認對于機密信息（電子文檔，打印文檔）,限定范 鬧的信息（電子文檔，打印文檔）是否有'明確標識o 根據(jù)需要，確認'限定

2、范碉 '附帶標識，'制 定日期，'制定者o是否使所有員工和信息安全相關人員簽署r保密協(xié)議丿合 同？是否有信息安全意識.教育和培訓訃劃？確認培訓訃劃是否執(zhí)行了信息安全慰識.教育和培訓？培訓記錄（實施日期，培訓內容瞰材滲加人員）是否制定了信息安全懲戒規(guī)程？是否執(zhí)行了信息安全懲戒？郵件用戶是否淸除了？抽査是否有離職人員的用戶權限沒有被淸除門禁權限是否淸除了？內部Ol權限是否清除了？抽査是否有離職人員的用戶權限沒有被淸除SRttKS權限是否淸除r?部門服務湍的權限是否淸除 了？（要點:實地檢査是否有離職員工儀出員工的訪問權限沒有被清除）是否制訂規(guī)則劃分了安全區(qū)域？確認風險評估時

3、是否劃分了安全區(qū)域等級審査內容審査要點檢査時間審核結果發(fā)現(xiàn)是否執(zhí)行了安全區(qū)域劃分規(guī)則？對不同等級的區(qū)域是否有相應措施措施是否 被執(zhí)行是否制訂安全區(qū)域出入規(guī)則？L在公司內部，員工是否佩帯可以識別身份的門 卡。2機房.實驗室是否有出入管制規(guī)則是否執(zhí)行了安全區(qū)域岀入規(guī)則（前臺接待，機房，實驗 室訪問控制）？安裝了防盜設施。（機房大門的上鎖，ID卡的識 別裝宜進入.離開的管理），實驗室進出是否有管 理記錄是否定期執(zhí)行門窗等入1安全檢會?檢査記錄是否定義了公共訪問丿交接區(qū)域？確認定義文件是否監(jiān)控了公共訪問和交接區(qū)域？實地査看是否有監(jiān)控措施服務器是否得到了妥善的安宜和防護？L重要的服務器放在安全的區(qū)域（如

4、機房）2是否有必:溫度和濕度合適個人電腦是否得到了安宜和防護？L筆記木安裝Poic.有物理鎖2所有電腦使用密碼屏幕保護I不用的筆記木是否放入帶鎖的柜中。是否制訂服務器維護計劃？確認計劃內容Se（Ilrenl是否被管理確認是否堂握遠距離訪問用戶及Wu油的信息。設備處迓是否經過了申請？（設備維修，銷毀等）確認修理及報廢時的）的對應方法。設備處迓是否經過了管理審批記錄服務器，網(wǎng)絡和應用系統(tǒng)的變更是否經過了管理？變更申請記錄審査內容審査要點檢査時間審核結果發(fā)現(xiàn)是否進行了防病毒軟件的部署確認部門系統(tǒng)和個人H的于 都已經部署并且狀 態(tài)正常。是否有及時的防病毒軟件的升級對防病毒軟件的是否進行了檢査、執(zhí)行一次

5、檢查備份策略制訂是否有備份策略的制訂？部門中的重要系統(tǒng),確 認定期備份的流程及記錄C備份實施是否有備份的實施？備份驗證是否有備份的驗證備份保護是否有備份保護是否實施了網(wǎng)絡控制是否有網(wǎng)絡訪問方面的限制是否對網(wǎng)絡服務的安全進行了控制UTek訪問服務的安全 務的安全是否有移動介質淸單的管理L是否有管理清用2記錄重要信息的外部存貯介質（例如：外宜硬 盤（W盤,H移動存儲卡.存儲備份資料用的 備份設備等），是否被保管在帶鎖的文件柜中？是否有移動介質報廢管理L報廢的申請和審批記錄L確認文本文件的廢棄方法。I確認是否將含有重要信息的文木文件就此扔 在垃圾箱中或扔在可回收資源的箱了中。1確認是否將垃圾箱和可回

6、收資源的箱子放在 安全的場所。1打印機上是否留有文件沒有被取走審査內容審査要點檢査時間審核結果發(fā)現(xiàn)系統(tǒng)文件是否得到了保護L檢査其訪問權限設定。2是否有備份是否有信息交換策略制訂確認項目或其他墩感信息是否在發(fā)送前經過授 權者確認，是否經過信息所有人（如PjI）的授權？和信息交換方是否簽訂了協(xié)議和交換涉及方簽訂物理介質傳輸是否得到了保護L檢査包裝合理性I搬運方法合理性是否按照公司規(guī)程實施了電子信息交換確認是否有電子郵件使用規(guī)則，和實施情況（如 發(fā)送重要文件時是否有文件加密等）是否按照公司規(guī)程實施業(yè)務信息互聯(lián)L互聯(lián)網(wǎng)使用的檢査。2戶（FIW之間的互聯(lián)是否有訪問控制，權限分配規(guī)則是否有訪問控制方針制訂

7、如果有文件共享請確認：L確認是否設宜了全員都可以訪問的權限。2確認對于長時間不使用的人員是否暫停其帳 號。X確認共享文件的訪問權限范圉。1所有對Ff的訪問都有密碼保護是否對訪問控制方針進行了評審是否有定期的Be是否有用戶注冊的管理L確認用戶賬號是否有申請書。確認用戶10及主要訪問的淸單要求刪除的用戶 或訪問權限是否及時修改。確認處理申請的記錄。審査內容審査要點檢査時間審核結果發(fā)現(xiàn)是否有特權管理的管理如果訪問控制淸單等是以紙張形式打印出來 的確認是否保管在上鎖的地方。電子文檔是否保管在只有管理者才能打開的場 所。是否有口令的管理有沒有將口令寫在便條上.或者告知他人是否定期對權限進行了審核定期審孩記錄是否制定了口令策略管理人員的密碼設定。是否有員工號等容易推斷的密碼。 1個帳號是否有多個用戶。密碼是否記錄在便條上。密碼為6位英文數(shù)字以上。是否執(zhí)行了口令策略是否實施了網(wǎng)絡隔離（不同功能和密級網(wǎng)絡的隔離，物 理或邏輯？L是否有隔離區(qū)2從隔離區(qū)外是否可以訪問區(qū)內網(wǎng)絡資源是否對網(wǎng)絡連接實施了控制接入網(wǎng)絡前是否經過D【或者01的安全檢查是否實施JZ網(wǎng)絡路由控制是否制訂了信息訪問限制策略訪問策略