安全审计管理制度

安全审计管理制度第一条安全审计是从管理和技术两个方面检查安全策略和控制措施的执行情况，进而发现安全隐患的过程。第二条信息安全管理部门定期进行安全审计工作，应根据审计内容确定安全审计周期。第三条信息安全管理部门负责制定信息安全审计工作的组织方式和对审计结果的处理方法。第四条安全审计分为管理和技术两个方面。所有人员（包括第三方）都应履行其在业务流程中承担的职责，管理人员应在其职责范围内确保安全策略和控制措施得到有效落实。管理审计侧重检查以上内容的执行结果和执行过程。技术审计检查安全策略和控制措施中技术层面的落实情况。必要时技术审计可以利用专业技术手段和适当的审计工具进行。第五条安全审计范围包括：1：服务器和重要客户端上的所有操作系统用户和其他用户；2：网络、安全设备上的所有用户；3：执行安全管理制度填写各类记录表单的相关人员。第六条资产责任人为安全审计提供支持，对安全审计中发现的问题进行分析，确定并采取必要的整改措施。网络与信息安全领导小组应跟踪督促责任人按期完成整改。第七条制定基于审计结果的奖惩措施，纳入被审计方的考核内容。第八条安全审计方应秉承客观、公正、公平的原则实施审计活动。审计方与被审计方保持相对独立，包括审计职责和流程，以确保审计结果的公正可靠。第九条审计方应详细记录安全审计活动过程和后续整改工作过程。安全审计活动和后续整改工作应被正式记录并保存。第十条为最大限度降低安全审计对正常运营造成的影响，采用以下措施控制安全审计过程：1：审计时间、内容和范围应得到网络与信息安全领导小组办公室的批准；2：有可能对关键业务系统造成负面影响的安全审计活动必须经过网络与信息安全领导小组的批准；3：明确审计所需的资源，做好工作计划和安排；4：检查应仅限于对系统的“只读”访问；非“只读”访问仅限于被隔离的数据拷贝，并在检查结束后删除全部修改的内容；5：特殊或者额外的处理要求应与相关业务部门确认，并得到管理部门批准；6：审计所涉及的所有访问过程都应被监控并记录，以便跟踪调查；7：审计过程的所有程序、要求和职责都应被记录在案。第十一条严密保护审计记录，防止审计记录用于不良目的，避免泄露被审计对象的安全属性。严密保护审计工具，防止任何不当使用行为对系统的安全性造成威胁。