《信息安全审计制度》等级保护安全管理制度.docx

《信息安全审计制度》等级保护安全管理制度.docx

《《信息安全审计制度》等级保护安全管理制度.docx》由会员分享，可在线阅读，更多相关《《信息安全审计制度》等级保护安全管理制度.docx（16页珍藏版）》请在冰豆网上搜索。

《信息安全审计制度》等级保护安全管理制度

XXX系统

管理平台

信息安全管理制度-信息安全审计制度

文件编号

使用部门

初版日期

修订日期

第一章

总则

第一条目的：

为加强XXX系统平台的内部审计工作，建立健全内部审计制度，明确内部审计职责，通过对人工收集到的大量审计行为记录进行检查，以监督不当使用和非法行为，并对发生的非法操作行为进行责任追查。

同时根据XXX系统平台各种与信息安全的相关的制度和技术手段进行检查,确保XXX的所有设备正常运行；

第二条适用范围：

包括对各系统日志的审计和安全管理制度及技术规范符合性检查。

第二章人员及职责

第三条本制度指定xxxxx作为XXX管理部的信息安全审计组织，负责实施XXX内部审核或对外审核，协助外部第二方/第三方审核；审核组的工作应该直接向信息安全领导小组汇报；实施独立审核，确保信息安全管理系统各项控制及组成部分按照策略要求运行良好，确保信息安全管理体系的完整性、符合性和有效性；

第四条与审计制度相关的人员分为审计人和被审计人。

审计人除了xxxxx安全审计员外，还需设立xxx指导和配合安全审计员的工作。

被审计人及系统为XXX管理部的信息安全执行组人员，包括综合网管系统、数据网管系统、运维审计系统、机房视频监控系统和其相关的管理、维护和使用人员等；

第五条xxxx的审计相关人员根据信息委规划战略、年度工作目标，以及上级的部署，拟订审计工作计划，报经XXX管理部领导批准后实施审计工作。

除年度审计计划外，也可根据工作需要或XXX管理部领导的要求配合上级部进行非定期的专项审计、后续审计等其他审计事项；

第六条信息安全审计员的角色和职责

本着安全管理权限分离的原则，信息安全审计员岗位要独立于其他角色管理员和各类系统使用人员。

信息安全审计员和本制度相关职责如下：

Ø负责XXX系统平台安全审计制度的建设与完善工作；

Ø信息安全审计员要对人工收集到的大量审计行为记录进行检查，以监督对XXX系统平台的相关信息系统的不当使用和非法行为；

Ø定期执行安全审计检查，对系统的安全状况进行分析评估，向上级主管提供系统安全状况审计报告和改进措施等。

第七条xxx信息安全主管和本制度相关职责是：

Ø负责指导和协助xxx建立安全审计制度并协调相关工作，以确保安全审计工作的顺利进行；

Ø对发生的非法操作行为进行责任追查；

Ø审查信息安全审计员的审计报告并汇报上级部门领导。

第八条信息安全执行组人员，包括各系统（网络设备，安全产品，主机，数据库和应用系统）的管理维护人员负责维护各自系统正常运行的同时必须向审计人员提供审计所需的各种信息（如各系统的日志，系统升级、备份、加固、权限及配置变更等各种操作记录）以配合审计人员完成审计工作；

第九条其他与审计相关的人员的职责参见xxxxx（岗位安全职责描述的相关文件）。

第三章日志审计的步骤

第十条日志收集

Ø目的

全面收集入侵者，内部恶意用户或合法用户误操作的相关信息，以便进一步的查看和分析。

防止重要的日志信息收集的遗漏。

Ø具体要求

需要根据各种系统的安全设置方法设定重要事件的日志审计（详细参见《日志管理规范》），如对安全设备的登入事件、用户增减事件、用户权限及属性修改事件、访问规则修改事件、系统开启或关闭事件、系统配置修改事件、安全告警事件，系统版本更新升级等事件的日志审计，包括所有系统特权命令的使用都必须被全面的记录；

第十一条对日志查看与分析

Ø目的

分析存在安全威胁的原因，以便制定相应的对策。

Ø日志查看和分析具体要求

●日志可以作为证据，提供安全事故调查；

●信息安全主管需要定期查看各系统的安全管理员是否根据其职责进行安全的维护，包括日常的运维操作记录和日志；

●信息安全审计员需要在信息安全主管的配合下对所有日志事件进行分类，划分不同的安全事件等级，并分析存在威胁的原因；

●信息安全审计员整理并编写安全分析报告，定期向上级汇报日志报表中存在的安全威胁其中包括：

✓安全威胁的统计；

✓新威胁的列表；

✓威胁同比增长率；

✓安全威胁的防范。

●审计人员与使用人员沟通

将重点审计对象的访问特点反馈给这些对象的使用者，尤其是各自的管理员；对于发现存在异常信息的审计对象，将这些信息告知相关管理员和操作者，并要求他们给出合理的解释。

第十二条审计月报

以审计数据作为基础抽样对象，汇总成为审计月报，经相关领导审核、批准后，向全公司人员公布。

审计月报的内容：

Ø必须明确安全审计的范围；

Ø必须明确安全审计的标准或原则；

Ø必须明确安全审计的检查清单；

Ø必须列举所有安全问题和安全隐患，并按照严重程度进行划分；

Ø必须列举所有安全问题和安全隐患的有关责任人员或责任部。

第十三条审计后续追踪

所有在日志审计过程中发现的各种违规行为，一旦经xxx部门确认后，由xx部门负责人通报给有关责任部门，并要求在规定时间内有关责任部提出解决方案和处理报告，xxx负责监督各违规行为是否纠正，并做相关的记录。

信息安全审计员，负责检查信息安全主管的相关记录以确保纠正措施都得到了实施。

xxx部门将在一个月之内再次对相关的违规行为进行检查。

第四章日志审计的目标和内容

第十四条审计的目标、分类

日志审计的目标主要是对访问操作的审计，对访问控制的审计，对敏感数据的审计和对应用数据的审计。

按《日志管理规范》中的分类方法，日志也可以分类为主机系统，安全产品，网络设备，数据库和应用系统的审计。

第十五条安全产品、网络设备的日志审核

对安全产品、网络设备的日志的审核工作具体要求如下：

Ø责任人应明确审核频率、定义安全事件判断规则、规定安全事件通报流程，用以审核日志，发现并确定安全事件。

Ø重大安全事件必须被记录在案，例如：

●多次失败登录；

●异常时间的接入或者异常地点的接入；

●信息流量的突然增加；

●针对系统资源的异常和/或饱和性尝试；

●重大网络与信息系统事件（比如配置更新以及系统崩溃等等）；

●安全属性变化

第十六条应用系统日志审核

Ø对各应用系统的日志的要求：

由于对应用系统日志的审核工作比较复杂，在实施审计之前先要对各应用系统的生成的日志提出统一的要求（详细的日志要求参见《日志管理制度》）；

Ø对应用系统日志审计至少要包括以下内容：

●应用系统日志产生是否正常，包括日志产生的时间、格式；

●日志功能是否被关闭过；

●日志中是否有被人为篡改的痕迹，（包括日志文件被编辑或删除，记录的消息类型被修改等）；

●日志中是否存在多次登陆失败的情况，如果超过一定的阀值，应当考虑为攻击事件；

●日志文件存储媒介是否用尽，防止造成无法记录事件或自行覆盖以前的日志文件；

●是否定期打印重要的操作清单；

●针对各业务系统维护人员通过系统界面对业务数据进行的增、删、改操作进行日志审查；

●对清单查询操作进行日志审查；

●对用户权限变更操作进行日志审查。

第十七条主机日志审计

对主机日志的审核内容，至少要包括以下内容：

Ø审计XX的，对数据库的非法连接；

Ø系统错误及所采取的纠正措施；

Ø系统的配置文件被修改；

Ø用户帐号变更；

Ø根用户或者用户被修改。

第十八条数据库日志审计

Ø审计XX的，直接连接数据库后的变更（增加，删除，修改）所有操作日志；

Ø系统错误及所采取的纠正措施；

Ø数据库服务的启动和关闭的日志信息；

Ø数据库系统核心配置文件被修改；

Ø数据库的日志是否定期备份。

第五章管理制度和技术规范的检查步骤

第十九条检查信息的收集

安全管理制度和技术规范执行情况的抽查，分为初步调查、详细调查和问题询问三个步骤进行：

Ø初步调查：

初步调查的目的是使安全检查人员了解检查对象的背景情况、基本运作流程、具体管理人员和操作人员的人员配备等大致的情况，以便快速熟悉检查对象，并制定相应的检查策略和工作清单。

Ø详细调查：

在初步调查的基础上，安全检查人员对检查对象进行深入了解，同时调整、修改并最终决定检查策略和工作清单。

Ø问题询问：

安全检查人员就检查的细节问题向具体管理人员和操作人员提出询问，进行检查报告编写前的最后准备工作。

第二十条检查报告的编写

安全检查人员对收集的资料进行分析整理，并完成安全检查报告的编写工作。

安全检查报告内容要求：

Ø必须明确安全检查的范围；

Ø必须明确安全检查的标准；

Ø必须明确安全检查的检查清单；

Ø必须列举所有安全问题和安全隐患，并按照严重程度进行划分；

Ø必须列举所有安全问题和安全隐患的有关责任人员或责任部；

Ø必须对检查单位有安全检查的整体评估。

第二十一条检查报告的汇报

由XXX管理部信息安全检查员对各单位的检查情况汇总整理后，提交给XXX管理部领导xxx进行审阅。

第二十二条确认检查中发现的安全问题和后续措施的实行

所有在检查过程中发现的安全问题和安全隐患，一旦经XXX管理部xxx确认后，由XXX管理部xxx通报给有关责任部门，并要求在规定时间内有关责任部提出解决方案和处理报告，同时负责监督各违规行为是否纠正并作相关的记录。

第二十三条检查工作总结

XXX管理部xxx对整个检查工作进行总结，并呈报XXX管理部上级部门。

第七章管理制度和技术规范的检查内容

第二十四条安全检查控制点

信息安全的检查可以根据国家信息安全等级保护标准，分五层面进行检查。

本制度所涉及的检查范围和检查内容见附件一；

第二十五条检查内容

检查信息安全管理系统策略文档是否由各文档负责人按该文档要求或者在业务系统发生重大变化后得到及时变更或更新，保证策略的有效性和可用性。

详细文档及对应负责人见附件二。

第八章检查表

第二十六条本制度的执行情况检查表

任务编号

检查点

检查内容

检查方法

检查周期

1

各系统日志审计报告

各系统生成日志是否符合相关要求

查阅日志记录

每周

2

安全策略和技术规范检查报告

从管理制度和技术规范检查报告是否符合本制度相关检查项目

查阅检查报告

每年

第九章相关记录

第二十七条执行本制度产生如下记录：

Ø各系统生成的日志记录。

Ø系统操作审计报告

Ø各系统管理员日常操作记录。

Ø信息安全管理制度和技术规范控制点检查结果。

第十章相关文件

第二十八条本制度参考了如下文件：

Ø《日志管理制度》

Ø《信息安全管理办法》

第十一章附则

第二十九条本制度自发布之日起开始实施；

第三十条本管理规定的解释和修改权属于XXX管理部；

第三十一条XXX管理部每年统一检查和评估本管理规定，并做出适当更新。

在业务环境和安全需求发生重大变化时，也将对本规定进行检查和更新。

附件一：

体系管理制度和技术规范控制点重点检查的内容及方法

信息安全

管理制度检查域

信息安全

管理制度

检查内容

具体检查方法

周期

安全事件响应和处理

⏹《信息安全事件管理》

⏹计算机安全事故检测措施

⏹计算机安全事故响应和事后处理计划

⏹审核《安全事件响应和处理报告》

⏹检查某一种事故出现的频率，如果频率过高说明事件没有能够及时处理和处理方法不得当

⏹现场让维护人员“预演”模拟二级或二级以上的安全事故的响应和事后处理

⏹每个月一次

安全管理日常安全工作

⏹《日常维护操作管理规定》

⏹各系统安全日常安全工作的执行情况

⏹各系统安全策略在运行中的情况

⏹各系统安全日志的检查报告记录分析情况

⏹各管理员在安全日常工作中的工作情况

⏹查看信息系统管理员的日常工作日报、周报、月报等，检查安全工作是否做过

⏹对信息系统管理员日常的安全工作内容进行抽样检查，检查工作报告和实际工作情况是否符合

⏹对所有管理进行问卷调查，检查管理员是否能够马上回答出日常安全工作内容