一文读懂 | 等保2.0安全通用要求审计实践案例(第4期)

安全管理人员审计高风险判定示例

1、未指定或授权专门的部门或人员负责人员的录用工作。

2、人员安全管理文档未说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）。

3、人员录用时，未记录对录用人身份、安全背景、专业资格或资质等（审查内容和审查结果）进行审查等。

4、人员录用时的技能考核文档或记录未记录考核内容和考核结果。

5、保密协议未有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容。

调研访谈：系统定级过程、方法和理由，定级结果论证和审定，定级结果批准，专门部门管理和使用定级材料，报主管部门和公安机关进行备案；

查文件：查系统定级文档，文档说明定级方法和理由，论证和审定意见，批准盖章，主管部门和公安机关备案的记录或备案文档等。

调研访谈：专人负责安全建设规划，安全设计方案，专家论证和审定，定期修订配套文件；

查文件：安全措施文档、风险分析表，总体规划文件和工作计划，专家论证文档，文档修订记录。

调研访谈：安全、密码产品使用，指定部门负责采购，审定和更新候选产品名单；

查文件：采购文件中涉及产品指标和候选范围，密码产品使用规定，产品选型测试记录等。

调研访谈：开发环境与测试环境分开，编码安全规范，专人保管设计文档和使用指南，授权审批；

查文件：查软件开发管理制度，明确软件开发生命周期管理，编码规范，设计文档等管理。

调研访谈：检测软件质量，恶意代码检测，开发商提供设计文档、使用指南和源代码等；

查文件：外包软件验收测试报告，恶意代码检测报告，设计文件和使用指南，源代码审查记录等。

调研访谈：专人负责管理实施过程，制定实施方案，制定工程实施方面的安全管理制度；

查文件：工程实施方的责任、任务和质量要求，工程实施方案，阶段性报告，工程实施管理制度。

调研访谈：第三方安全测试，制定测试验收方案和报告，专人负责验收工作，测试验收报告审定；

查文件：第三方测试文档，测试验收方案，测试验收管理文档，测试验收记录和测试验收报告。

调研访谈：根据交付清单对设备、文档、软件等进行清点，新系统培训，专人负责系统交接工作；

查文件：详细系统交付清单，新系统培训记录，系统运维文档，系统交付管理文档等。

调研访谈：等保测评管理文件，系统变更后的等级测评，如何选择测评机构，专人负责等保测评；

查文件：测评报告、建议报告和整改方案，测评机构资质。

调研访谈：安全服务器选择，签订服务协议，服务商提供技术培训和服务培训；

查文件：服务招标文件，签订的服务合同和保密协议等文档，服务合同中包含服务内容和期限等。

安全建设管理审计高风险判定示例

1、网络关键设备和网络安全专用产品的使用违反国家有关规定。

2、密码产品与服务的使用违反国家密码管理主管部门的要求。

3、对于涉及金融、民生、基础设施等重要行业的业务核心系统由外包公司开发，上线前未对外包公司开发的系统进行源代码审查，外包商也无法提供相关安全检测证明。

4、系统上线前未通过安全性测试，或未对相关高风险问题进行安全评估仍旧“带病”上线的，安全检查内容可以包括但不限于扫描渗透测试、安全功能验证、源代码安全审核。

调研访谈：指定部门或人员对机房维护、机房安全，建立机房制度，办公环境保密性管理；

查文件：机房维护管理制度和维护记录，查机房管理制度，物理访问、环境安全等，办公环境管理文档。

调研访谈：建立资产登记管理及资产清单，依据重要资产进行分类和标识管理；

查文件：查资产清单，资产安全管理制度，依据资产重要程度的管理措施，信息分类文档和资产标识原则和方法。

调研访谈：介质安全管理制度，介质的存放，介质传输控制，介质销毁，介质异地存储，介质分类标识管理；

查文件：查介质安全管理制度，介质管理记录，介质目录清单，异地存储环境，查看介质标识。

调研访谈：专人负责设备管理，建立设备安全管理制度，建立配套设施、软硬件维护方面的管理制度；

查文件：设备和线路维护记录，查设备安全管理制度，设备维护记录和操作日志，设备带离申报材料和报告。

漏洞和风险管理

网络和系统安全管理

往期 · 推荐