安全审核和安全检查管理办法

1 安全审核和安全检查管理办法 第一章第一章 总则总则 第一条 为加强好收益 北京 金融信息服务有限公司 以下简称 公司 安全审核和安全检查管理 规范审核和检查工作 特制订本办法 第二条 本办法适用于公司 第二章第二章 管理要求管理要求 第三条 内部或外部相关的安全审核和安全检查工作应根据相关办法 并结 合业务实际需求进行 第四条 信息安全领导小组应监督 指导安全审核和安全检查工作 督促执 行 第五条 相关部门和人员应积极主动配合安全审核和检查工作 对发现的问 题应及时改进 第三章第三章 工作内容工作内容 第六条 各部门信息安全员应定期 每月 针对本部门信息安全相关工作进 行安全检查 并报信息安全工作组审核检查结果 并根据信息安全工作组提 出的安全建议进行改进 第七条 安全管理员应定期 每季度 组织进行安全检查 各部门信息安全 员应配合完成 第八条 安全审计员应定期 每季度 进行安全审查 各部门信息安全员和 中心安全管理员应配合完成 2 第九条 信息安全工作组应制定安全检查表格 配合信息安全领导小组实施 安全检查 记录汇总安全检查数据 形成安全检查报告 并对安全检查结果 进行通报 第十条 信息安全领导小组定期 每年 进行全面的信息安全检查 其内容 包括现有安全技术措施的有效性 安全配置与安全策略的一致性 安全管理 制度的执行情况等 第十一条所有信息安全审核和安全检查工作都应记录并存档 第四章第四章 附则附则 第十二条本办法由公司信息安全工作组制定 并负责解释和修订 第十三条本办法自发布之日起执行 3 附件附件1 1 公司公司 好收益网贷平台好收益网贷平台 安全检查记录表 部门信息安全员 安全检查记录表 部门信息安全员 日期日期 检查项目检查项目标准标准 123456789101 1 1213 软件更新 系统的软件更新和补丁安装 是否正常 系统版 本 安全漏洞安全漏洞是否都已修复 账号变更 账号增加删除等变更是否正 常 账号权限账号的权限分配是否正常 账号安 全 密码强度 账号密码是否符合复杂度要 求 运行安 全 运行状态软件运行状态是否正常 报警日志 是否所有报警日志均已分析 处理 安全日 志 日志审计所有记录的日志是否正常 4 注 检查结果为否的内容 需要填写异常处理记录注 检查结果为否的内容 需要填写异常处理记录 软件备份系统软件备份是否正常 系统备 份 数据备份系统数据备份是否正常 检查人员确认检查人员确认 异常处理记录异常处理记录 序号序号故障现象故障现象处理方法处理方法处理效果处理效果处理人签名处理人签名日期日期 1 2 3 4 5 附件附件2 2 公司基础设施安全检查记录表 部门信息安全员 公司基础设施安全检查记录表 部门信息安全员 日期日期 检查项目检查项目标准标准 123456789101 1 1213 版本检查是否是最新版本防病 毒软 件检 查 病毒检查是否有病毒在活动 接入检查无线路由接入是否经授权 无线路由是否设置密码 处室 无线 路由 器检 查 密码设置检 查 密码复杂程度是否合规 网络连接网络线路是否连接正常 网络带宽网络带宽是否正常 备份链路备份链路是否正常 防火墙防火墙工作是否正常 网络 环境 检查 路由器路由器是否正常 6 注 检查结果为否的内容 需要填写异常处理记录注 检查结果为否的内容 需要填写异常处理记录 三层交换机三层交换机是否正常 网络设备日 志 网络设备日志是否正常 服务器运行状态是否正常 操作系统用户管理是否正常 操作系统日志是否正常 服务器环境检查 操作系统补丁更新是否正常 备份系统状态是否正常 备份介质状态是否正常备份系统检查 备份和恢复程序是否正常 检查人员确认 异常处理记录异常处理记录 序号序号故障现象故障现象处理方法处理方法处理效果处理效果处理人签名处理人签名日期日期 1 2 3 4 5 7 8 附件附件3 3 公司公司 好收益网贷平台好收益网贷平台 季度安全检查 安全管理员 季度安全检查 安全管理员 检查结果检查结果 检查项目检查项目检查内容检查内容检查方式检查方式 不适用是否未检查 备备 注注 应用系统是否有多余 无用 异常账号等情况 应用系统是否有账号权限不合理现象 账号管理 应用系统是否有密码设置不合理现象 应用系统是否未限制失败登录次数 登录控制 应用系统是否未对多次登录失败采取措施处理 通信安全应用系统是否未对关键通信采取加密等手段 应用系统是否未启用安全审计功能 审计安全 应用系统是否未对审计日志妥善保存 资源控制应用系统是否未进行资源控制配置 查询记录 现场检查 检查人 检查日期 异常处理记录异常处理记录 9 序号序号问题描述问题描述处理方法处理方法处理结果处理结果 1 2 注 检查结果为是的内容 需要填写异常处理记录注 检查结果为是的内容 需要填写异常处理记录 10 附件附件4 4 公司基础设施季度安全检查表 安全管理员 公司基础设施季度安全检查表 安全管理员 检查结果检查结果 检查项目检查项目检查内容检查内容检查方式检查方式 不适用是否未检查 备注备注 安全设备运行情况安全设备 CPU 内存 硬盘等是否出现过异常查询日志 安全设备的网络接口是否出现过异常查询日志 安全设备网络连接 安全设备的网络连接是否出现过中断查询日志 安全设备的策略 配置是否有不合理内容检查策略 安全设备的策略变更是否有不规范操作查询记录 安全设备策略配置 安全设备的软件配置变更是否有不规范操作查询记录 安全设备的告警日志是否有未处理内容 查询日志 查询记录 安全日志分析 安全设备的用户操作是否有违规行为查询日志 检查人 检查日期 异常处理记录异常处理记录 序号序号问题描述问题描述处理方法处理方法处理结果处理结果 11 1 2 3 4 注 检查结果为是的内容 需要填写异常处理记录注 检查结果为是的内容 需要填写异常处理记录 12 附件附件5 5 公司公司 好收益网贷平台好收益网贷平台 季度安全检查 安全审计员 季度安全检查 安全审计员 检查结果检查结果 检查项目检查项目检查内容检查内容检查方式检查方式 不适 用 是否 未检 查 备注备注 身份认证安全策略是否有未落实内容 访问控制安全策略是否有未落实内容 通信安全策略是否有未落实内容 安全策略落实情况 审计安全策略是否有未落实内容 查询记录 现场检查 应用系统中是否有未授权用户出现 应用系统中是否有用户权限不合理现象 应用系统中是否有用户违规操作行为 查询日志 查询记录 应用系统中用户认证设置是否有不合理内容 用户安全审计 应用系统中用户权限设置是否有不合理内容 现场检查 检查人 检查日期 13 异常处理记录异常处理记录 序号序号问题描述问题描述处理方法处理方法处理结果处理结果 1 2 3 4 注 检查结果为是的内容 需要填写异常处理记录注 检查结果为是的内容 需要填写异常处理记录 14 附件附件6 6 公司基础设施季度安全检查 安全审计员 公司基础设施季度安全检查 安全审计员 检查结果检查结果 检查项目检查项目检查内容检查内容检查方式检查方式 不适 用 是否 未检 查 备注备注 身份认证安全策略是否有未落实内容 访问控制安全策略是否有未落实内容 通信安全策略是否有未落实内容 安全策略落实情况 审计安全策略是否有未落实内容 查询记录 现场检查 应用系统中是否有未授权用户出现 应用系统中是否有用户权限不合理现象 应用系统中是否有用户违规操作行为 查询日志 查