2020年ISO27001-2013信息安全管理体系内审检查表文档格式.docx
- 文档编号:13025398
- 上传时间:2022-10-02
- 格式:DOCX
- 页数:18
- 大小:25.92KB
2020年ISO27001-2013信息安全管理体系内审检查表文档格式.docx
《2020年ISO27001-2013信息安全管理体系内审检查表文档格式.docx》由会员分享,可在线阅读,更多相关《2020年ISO27001-2013信息安全管理体系内审检查表文档格式.docx(18页珍藏版)》请在冰豆网上搜索。
5
领导
5.1
5.1领导和承诺
组织是否制定了明确的信息安全方针和目标,这些方针和目标与公司的业务是否相关。
5.2
5.2方针
是否有文件化的管理方针
现场观察
5.3
5.3组织角色、职责和权限
是否建立了的信息安全管理组织,并明确其职责及权限
6
规划
6.1
6.1应对风险和机会的措施
6.1.1总则
检查组织是否建立正式的风险评估流程
6.1.2信息安全风险评估
是否建立了风险接受准则
风险评估实施情况
抽样最新一次风险评估内容,检查风险是否识别了责任人,风险级别
6.1.3信息安全风险处置
检查组织的风险处置计划,风险是否都有风险责任人审批,风险处置方式。
6.2信息安全目标和规划实现
检查组织是否建立信息安全目标,信息安全目标与管理方
针是否存在关联
7
支持
7.1资源
组织应确定并提供建立、实施、保持和持续改进信息安全管理体系所需的资源。
7.2能力
检查组织在岗位说明书中明确信息安全方面的能力要求
检查组织的培训计划,是否有信息安全方面的培训内容
7.3意识
随机访谈各部门员工5人,了解其是否知晓最新的信息安全管理体系及相关制度。
7.4沟通
了解组织与相关方沟通的方式,频率以及沟通的记录
8
运行
8.1运行的规划和控制
检查内容详见A5-A18
9
绩效评价
9.1监视、测量、分析和评价
检查组织是否有体系有效性测量流程
9.2内部审核
检查组织是否建立了内审流程
检查最新的内审活动,是否包含检查清单、检查过程是否
有效,对不符项的关闭情况
9.3管理评审
检查公司的管评计划
检查公司最新的管评活动记录
10
改进
10.1不符合和纠正措施
检查内容同9.19.2
A.5
安全方针
A.5.1
信息安全管理方向
A.5.1.1
信息安全方针
A.5.1.2
信息安全方针的评审
获取组织管理评审相关记录,检查管理评审会议中,是否对信息安全方针的达成情况进行了评审。
A.6
信息安全组织
A.6.1
内部组织
A.6.1.1
信息安全的角色和职责
是否所有的组织成员都明确自己的信息安全职责?
以及对自己信息安全职责的明确程度?
信息安全职责的分配是否与信息安全方针文件相一致?
A.6.1.2
与监管机构的联系
检查体系制度中,是否明确指定了与监管机构联系的部门
或负责人
A.6.1.3
与特殊利益团体的联系
与第三方接洽是否考虑了安全性?
是否对相关资质和背
景进行考察?
A.6.1.4
项目管理中的信息安全
抽样检查本年度已实施完成的项目或正在实施的任意一个项目。
检查项目管理过程中,是否依照组织信息安全管理制度相
关要求进行安全管理
A.6.1.5
职责分离
检查组织的岗位职责表,检查是否明确定义了职责说明。
检查是否有不兼容岗位设置说明;
检查系统开发、系统测试、系统运维是否由不同人员担任。
A.6.2
移动设备和远程办公
A.6.2.1
移动设备策略
检查公司信息安全管理制度中是否明确的制定了移动设
备的安全管理策略;
随机抽样3台移动设备,检查设备的安全管控措施是否与制度相符。
A.6.2.2
远程办公
检查公司信息安全管理制度中是否明确的制定了远程办
公的管理策略;
A.7
人力资源安全
A.7.1
任用之前
A.7.1.1
筛选
随机抽样4名新入职员工的入职材料,检查员工入职前,背景调查的相关记录.
A.7.1.2
任用的条款及条件
检查这4名新入职员工的劳动合同及是否签署了保密协议。
A.7.2
任用中
A.7.2.1
管理职责
随机抽样5名员工,检查是否了解其工作职责。
A.7.2.2
信息安全意识,教育和培训
获取组织年度的培训计划;
检查年度培训计划中是否包含了信息安全意识培训;
获取当年度信息安全培训的签到表、培训记录
A.7.2.3
纪律处理过程
检查组织是否制定了奖惩规则;
获取当年奖惩记录
A.7.3
任用的终止或变化
A.7.3.1
任用终止或变化的责任
获取当年离职离岗或转岗人员清单;
随机抽样四份离职或转岗记录,检查所有控制环节是否都
被有效实施;
A.8
资产管理
A.8.1
对资产负责
A.8.1.1
资产清单
获取组织的信息资产清单;
检查信息资产清单是否每年都进行更新;
A.8.1.2
资产责任人
检查资产清单中各类信息资产是否都指定了责任人;
抽样5份重要的信息资产,验证已定义的信息资产责任人
是否与实际相符;
A.8.1.3
资产的允许使用
了解组织重要系统或数据是否定义了访问规则;
检查系统及数据访问的审批或授权记录。
A.8.2
信息分类
A.8.2.1
信息的分类
检查信息资产相关制度,组织是否已定义了资产分类分级
的标准;
检查信息资产清单,各类信息资产是否依照规则进行了分
类和分级;
A.8.2.2
信息的标记
随机抽样5份电子文档以及纸质文件检查文件中是否明
确标记了保密等级
A.8.2.3
资产的处理
检查信息资产相关制度,制度中是否已明确制定了资产的
处理措施;
A.8.2.4
资产的归还
随机抽取本年度4份离职单,查看物品归还情况
A.8.3
介质处理
A.8.3.1
可移动介质的管理
现场观察移动存储使用和管控与制度是否相符;
A.8.3.2
介质的处置
检查是否建立介质消磁管理办法,并按要求定期进行回顾
与更新;
抽查4份介质报废的审批及处置记录
A.8.3.3
物理介质传输
存有重要信息的介质传送时有哪些策略
抽样策略的实施情况
A.9
访问控制
A.9.1
访问控制的业务要求
A.9.1.1
访问控制策略
检查组织是否建立了系统的访问控制策略;
是否建立了安全或重要区域的访问控制措施
A.9.1.2
网络服务的使用政策
检查组织是否建立了网络安全域访问控制策略;
A.9.2
用户访问管理
A.9.2.1
用户注册和注销
检查账户开通管控情况:
抽样2份重要业务系统用户帐号开通审批记录
抽样4份新员工帐号开通申请记录
A.9.2.2
特权管理
检查特权账户授权、使用管控情况:
抽样3份重要系统特权账户授权审批记录
检查特权账户使用是否符合制度要求
A.9.2.3
用户秘密认证信息的管理
检查组织用户口令管理策略,是否对口令生成、发送、变更等环节制定了控制措施。
A.9.2.4
用户访问权的复查
抽样2套重要的服务器用户帐号及权限复查记录;
检查账
户及权限复查工作是否满足制度要求
A.9.2.5
移除或调整访问权限
随机检查2个重要系统账户清单,检查今年离职用户的账
户是否被删除或冻结
A.9.3
用户职责
A.9.3.1
秘密认证信息的使用
随机检查3名员工电脑,要求其现场登录,观察输入的密
码长度及复杂程度
A.9.4
系统和应用程序的访问控制
A.9.4.1
信息访问限制
1.公司各类信息是否制定了相应的访问控制措施
2.现场抽查访问控制措施的有效性
A.9.4.2
安全登录程序
检查公司系统登录程序,是否做到输入密码时,不显示密码。
密码连续输错N次自动锁定;
系统不操作一定时长后自动退出等功能。
A.9.4.3
口令管理系统
检查域控的密码策略,检查密码设置的长度、复杂程度、
修改周期是否符合制度要求;
;
随机抽查2个重要系统的用户密码管理策略,检查密码设
置的长度、复杂程度、修改周期是否符合制度要求;
A.9.4.4
特权实用程序的使用
抽查公司域控、重要系统中是否存在特权实用程序,这些程序的安全使用是否得到相应的审批
A.9.4.5
程序源码的访问控制
检查源程序访问控制制度和措施
抽查源程序控制措施,检查其是否符合制度要求
A.10
密码学
A.10.1
密码控制
A.10.1.1
密码使用控制政策
检查公司是否制定了加密策略,包括加密的对象、加密的
方法、解密的方法等。
A.10.1.2
密钥管理
检查公司对密钥生命是否制定了控制措施。
A.11
物理和环境安全
A.11.1
安全区域
A.11.1.1
物理安全边界
重要安全区域是否隔离?
A.11.1.2
物理入口控制
现场抽样3份设备进出单
检查职场、机房进出记录?
A.11.1.3
办公室,房间和设施的安全保
护
现场查看办公室的防火'
防盗措施,检查职场大门是否常闭
A.11.1.4
外部和环境威胁的安全防护
周遍环境的检查(灭火设备、危险物品存放)
A.11.1.5
在安全区域工作
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2020 ISO27001 2013 信息 安全管理 体系 检查表