下载文档原格式
信息安全内审检查表
以下是一份信息安全内审检查表的范例，供参考：
一、审计目标
1.确保公司信息安全策略和标准的合规性
2.评估信息资产的安全性
3.发现潜在的安全风险和漏洞
4.提高公司信息安全水平
二、审计范围
1.公司所有信息系统
2.物理和逻辑访问控制
3.网络安全
4.加密和身份验证
5.备份和恢复
6.人员安全和培训
7.政策和程序
三、审计方法
1.文档审查：审查公司信息安全政策和程序、系统配置、日志文件等。
2.访谈：与关键人员、系统管理员、安全管理员等进行访谈，了解信息安全实
践和程序。
3.测试：对防火墙、入侵检测系统、加密技术等进行测试，评估其有效性。
4.实地考察：检查物理安全措施，如门禁系统、监控摄像头等。
四、审计步骤
1.审计准备：制定审计计划、确定审计范围和资源、收集相关信息。
2.审计实施：进行文档审查、访谈、测试和实地考察。
3.问题识别：识别存在的安全风险和漏洞。
4.风险评估：评估问题的严重性和影响范围。
5.报告编制：编制审计报告，总结审计结果和建议。
6.跟踪与监控：对审计结果进行跟踪和监控，确保问题得到解决。
五、审计结果和建议
1.对发现的问题进行分类，如高、中、低风险。
2.对每个问题提出具体的建议和解决方案。
3.对建议的解决方案进行成本效益分析，以确定优先级。
4.对已解决的问题进行跟踪和监控，确保其有效性。
ISO27001-2013信息安全管理体系内部审核检查表`被审核部门：审核时间：2020.01.06 编写人：被审核部门代表确认：内审员：管理者代表：审核依据：ISO27001:2013 及法律法规要求条款标题审核问题审核对象审核方式审核结果审核记录4 组织环境4.1 4.1 理解组织及其环境1、组织管理者是否了解组织内部可能会影响信息安全目标实现的风险？2、组织管理者是否了解组织外部环境，包括行业状况、相关法律法规要求、利益相关方要求、风险管理过程风险等？3、组织管理者是否明确组织的风险管理过程和风险准则？4.2 4.2 理解相关方的需求和期望1、组织是否识别了与组织信息安全有关的相关方？2、组织是否明确了这些相关方与信息安全有关要求？（包括法律法规要求和合同要求）4.3 4.3 确定信息安全管理体系的范围1、组织的信息安全管理体系手册中是否有明确管理范围？2、组织的适用性声明，是否针对实际情况做合理删减？3、组织对信息安全管理范围和适用性是否定期评审？4、组织制定的信息安全管理体系是否已经涵盖安全管理活动中的各类管理内容？4.4 4.4 信息安全管理体系1、组织是否建立、实施、保持、持续改进信息安全管理体系制度？2、信息安全制度有安全策略、管理制度、操作规程等构成？5 领导5.1 5.1 领导和承诺1、组织是否制定了明确的信息安全方针和目标，并且这些方针和目标与组织的业务息息相关？2、组织的业务中是否整合了信息安全管理要求？3、组织为实施信息安全管理，是否投入了必要的资源？（人、财、物）4、组织管理者是否在范围内传达了信息安全管理的重要性？5.2 5.2 方针1、组织制定的信息安全方针是否与组织的业务目标相一致？2、组织制定的信息安全方针是否与信息安全目标相一致？3、组织制定的信息安全方针是否可以体现领导的承诺？4、组织制定的方针是否在信息安全管理手册中体现？5、组织制定的方针是否已经传达给全体员工？并且在适当的时候也传达给第三方。
备注序号IS0/IEC27001信息安全管理体系要求4 组织是否对所有的与信息处理设施有关的信息和资产指定"所有者”？A.7.1.2Y5是否识别与信息系统或服务相关的资产的合理使用规则，并将其文件化，并予以实施？A.7.1.3Y物流中心 管理者是否通过明确导向、可证实的承诺、信息安全职责的分配来积极支持组织内的信息安Y物流中心9 是否对新的信息处理设施规定并实施管理授权过程？A.6.1.4Y 物流中心 W 反映组织信息保护需求的保密或不泄密协议的要求是否被识别并定期对其进行评审？ Λ.6.1.5 Y 物流中心 11 与相关的权威机构的适当联系是否被保持？ A.6.1.6 Y 物流中心 12与专业的相关团体或其他安全专家论坛或专业协会的适当联系是否被保持？ A.6.1.7Y 物流中心 13组织管理信息安全的方法及其实施情况（如控制目标和控制措施、策略、过程和信息安全的程序）是否根据策划的时间间隔，或者是当安全实施发生重大变化时进行了独立评审？ A.6.1.8 Y物流中心 14 是否识别由外部相关方参与商业过程而对组织信息资产和信息处理设施造成的风险？并在批准外部相关方访问信息资产和信息处理设施前实施适当的控制？ Λ.6.2.1 Y 物流中心15在批准顾客访问组织信息或资产前，是否处理所有己识别的安全要求？ A.6.22 Y 物流中心 16 与第三方签订的涉及组织信息或信息处理设施或信息处理设施附加部件和服务的访问、处理、沟通或管理的协议，是否包含或涉及所有已识别的安全要求？A.6.2.3Y物流中心17对每一个信息系统和组织而言，法律条文、行政法规及合同内容所规定的所有相关要求，以及满足这些要求的组织方法，是否加以明白地界定、文件化并保持更新？ Λ.15.1.1 Y物流中心18是否实行适当的程序，以确保在具有知识产权的产品和私有软件产品时，能符合法律、法规和合同条款的要求？ A151.2Y 物流中心20 数据保护和隐私是否确保符合相是否的法律法规要求，适用时也是否满足合同条款的要求？ Λ.15.1.4 Y物流中心21 是否阻止用户把信息处理设备用于未经授权的目的？ A.15J15 Y 物流中心密码控制措施的使用要与所有的相关协定、法律Y 物流中心是否定期检查信息系统是否符合安全运行标Y 物流中心 26 是否保护对信息系统审核工具的访问，防止任何可能的误用或者危害？ A.15.3.2 Y 物流中心27 是否明确识别所有资产，并建立和保持《重要资产清单》？ Λ.7.11 Y 营销中心 组织是否对所有的与信息处理设施有关的信息Y 营销中心 30 是否明确识别所有资产，并建立和保持《重要资产清单》？ A.7.1.1 Y 行政中心 31 组织是否对所有的与信息处理设施有关的信息和资产指定〃所有者“？ A.7.1.2 Y 行政中心 32 是否识别与信息系统或服务相关的资产的合理使用规则，并将其文件化，并予以实施？ A.7.1.3 Y 行政中心 33 是否根据其价值、法律要求、敏感度以及对组织的关键程度，对信息进行分类？ A.7.2.1 Y 行政中心 34是否依据组织采纳的分类方案制定并实施一系列适当的信息标识和处理程序？ Λ.7.2.2 Y 行政中心 35是否依据组织的信息安全方针规定员工、合作方以及第三方用户的安全任务和责任，并将其文件Y行政中心363738管理者是否要求员工、合作方以及第三方用户依据建立的方针和程序来应用安全？ Aa21Y 行政中心39组织的所有员工，适当时还包括合作方和第三方用户，是否接受适当的意识培训并定期向它们传达组织更新的方针和程序，以及工作任务方面的新情况？ A.8.2.2Y行政中心40对造成安全破坏的员工是否有一个正式的惩戒过程？ A.8.2.3Y行政中心41执行工作终止或工作变化的职责是否清晰的定义和分配？ A.8.3.1Y行政中心42所有员工、合作方以及第三方用户是否在他们的聘用期限、合同或协议终止时归还他们负责的所有组织资产？ A.8.3.2Y行政中心43所有员工、合作方以及第三方用户对信息和信息处理设施的访问权是否在其聘用期限、合同或协议终止时删除，或根据变化作相是否的调整？ A.8.3.3Y行政中心44是否使用安全周界（墙、刷卡出入的大门或者人工接待前台）保护包含信息及信息处理设施的区域？ A.9.1.1Y营销中心45是否通过适当进入管理措施保护安全区域，确保只有得到授权的用户才能访问？ A.9.1.2Y营销中心46办公室、房间和设施的物理安全措施是否被设计并应用？ A.9.1.3Y营销中心47防范火灾、水灾、地震、爆炸、社会动荡，以及其它形式的自然或人为灾害的物理安全控制是否被设计并应用？ A.9.1.4Y营销中心48安全区的物理保护和原则是否被设计并应用？ A.9.1.5Y营销中心49是否对交付和存储设施的访问地点以及其它未经授权的人员可能访问到的地点进行控制，可能的话，是否与信息处理设施隔离，以避免未经授权的访问？ A.9.1.6Y营销中心50设备是否被定位或保护，以降低来自环境威胁和危害的风险，以及未经授权的访问机会？ A.9.2.1Y营销中心51是否对设备加以保护使其免于电力中断或者其它电力异常的影响？ A.9.2.2Y营销中心52是否保护传输数据和辅助信息服务的电缆和通讯线路，使其免于截取或者破坏？ A.9.2.3Y营销中心53设备是否得到正确的维护，以确保其持续有效性和完整性？ A.9.2.4Y营销中心54考虑到在组织场所外工作的风险，安全是否应用到场所外设备？Λ.9.2.5Y营销中心55包含储存媒体的设备的所有项目是否进行检查，以确保在处置之前将所有敏感数据和许可软件都被清除或者覆盖掉？ A.9.2.6Y营销中心56在未经授权的情况下，设备、信息或软件是否带到场所外？Λ,9.27Y营销中心57操作程序是否被文件化、保持，并且在用户需要时可用？Λ.10.1.1Y营销中心58是否控制对信息处理设备和系统的变更？ A.10.1.2Y营销中心符合符合符合符合符合蒋符合符合符合符合符合俞符合符合。
信息安全管理体系审核检查表一、组织运营情况1.组织机构概况：–组织名称：–组织性质：–成立时间：–主要业务范围：2.信息安全管理部门设置情况：–部门名称：–职责描述：–人员配备情况：二、信息资产管理1.信息资产清单：–是否建立信息资产清单？–清单更新频率：2.信息分类管理：–是否明确信息分类标准？–是否按照信息分类标准进行管理？三、风险管理1.风险评估：–是否定期进行风险评估？–是否建立风险评估报告？2.风险处理：–是否建立风险处理方案？–风险处理效果评估情况：四、安全访问控制1.用户权限管理：–是否进行用户权限管理？–是否建立权限分配流程？2.访问控制：–是否建立访问控制策略？–是否监控访问控制的执行情况？五、信息安全培训与意识1.培训计划：–是否建立信息安全培训计划？–培训内容涵盖范围：2.意识提升：–是否定期进行信息安全意识培训？–员工信息安全意识检查情况：六、内部安全检查与审计1.内部审计：–是否定期进行内部安全检查与审计？–审计报告执行情况：2.审计结果整改：–是否建立审计结果整改机制？–整改情况跟踪及反馈情况：七、应急响应和恢复1.应急响应预案：–是否建立应急响应预案？–是否进行应急演练？2.灾难恢复：–是否建立灾难恢复预案？–是否定期测试恢复预案有效性？八、外部服务提供商管理1.外部服务提供商审查：–是否对外部服务提供商进行审查？–外部服务提供商安全性考虑情况：2.外部服务提供商监管：–是否对外部服务提供商进行监管？–监管合规性检查情况：九、通信安全1.网络安全管理：–是否建立网络安全管理制度？–网络安全事件处理情况：2.通信加密：–是否对重要通信进行加密？–加密算法及密钥管理情况：十、环境安全1.信息系统物理安全：–是否建立信息系统物理安全措施？–安全设备检查维护情况：2.环境监控：–是否进行环境监控？–监控数据记录和分析情况：十一、文件与记录管理1.信息安全文件管理：–是否建立信息安全文件管理制度？–文件管理规范执行情况：2.记录管理：–是否建立信息安全记录管理制度？–记录存储及备份情况：十二、信息安全体系监测与改进1.安全监测：–是否建立信息安全监测机制？–安全监测数据分析情况：2.改进措施：–是否持续改进信息安全体系？–改进措施实施效果评估情况：以上为信息安全管理体系审核检查表，相关部门及人员应认真填写审核情况，及时整改存在的问题，确保信息安全管理体系的持续健康发展。
