ISMS内部审核计划与方案 审核日期 审核目的 判断体系运行符合审核依据的程度 GB/T22080-2008/ISO/IEC27001:2005 《信息技术 安全技术 信息安全管理体系 要求》； 审核依据 公司信息安全管理体系文件； 相关的法律法规 审核范围 审核A组 审核B组 审核C组 XXX所有部门 审核日程安排 审核部门 审核方式 审核时间 运营部 市场部 产品部 技术部 销售支持部 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 应用产品技术部 银行合作部 渠道发展部 保险基金部 计划管理部 办公室 授信部 内审部 结算部 财务部 金融业务部 无线产品线 创新业务部 电信产品线 航空旅游产品线 数字娱乐产品线 行政教育产品线 开放平台 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 提问、观察、访谈、查证 人力资源部 行政部 风险管理部 合规部 战略规划部 质量部 核心平台 系统部 方案 信息安全管理体系 要求》； 审核人员 完成状态 ISMS体系运行状况追踪计划 序号 落实控制内容 控制点要求 1 物理环境清理 办公室物理环境清理； 1、人员下班或较长时间离开房间时，房间门上锁； 2、文件柜、保险柜、档案柜上锁； 2 物理上锁 1、打印/复印后要及时取走； 2、打印机/复印机张贴安全提示； 3、作废的机密文档要以碎纸机碎掉或撕成碎块，不要直接作为垃圾 丢弃。避免和减少信息外泄或非授权访问的发生。 3 文档打印/复印/碎纸 1、信息安全管理员对违反安全规定的人员进行记分； 2、信息安全管理管理小组每季对记分结果进行汇总； 3、人力资源根据记分结果进行考核。 4 信息安全量化记分 硬件资产、纸质文档贴敏感性标签，电子文档在模板中增加电子标 识 5 信息资产敏感性标识 1、应当对所有信息资产进行识别，建立资产清单和使用规则，明确 定义信息资产责任人及其职责； 6 资产登记 2、资产清单应每季度更新一次。 7 风险评估 1、每年对信息资产所面临的风险进行至少一次风险评估 各部门的公用电脑只限于本部门的员工使用，其他人员（特别是外 部人员）未经部门负责人允许不得使用 8 公用电脑管理 帐户口令权限评审与清定期对系统帐户口令权限进行评审与清理（包括支付平台、网络设 10 理 备、安全设备、主机） 人员离开座位时超过一定的时间段，要对电脑进行锁屏处理或设置 自动锁屏 11屏保设定 个人办公电脑使用者需要确保： 个人办公电脑安全控制(1、无多余帐户，口令符合相关规定， 帐户权限、口令/病毒/2、防病毒软件及时升级，定期扫描； 系统补丁/个人数据备份3、系统补丁更新 12 等） 4、对个人重要数据进行定期备份 5、取消用户的默认共享。 整理已签订的保密协议 内部相关方保密协议签订（信息技术中心现场支持人员等），保密 协议中要包括要求内部相关方进行人员背景调查的内容 外部人员保密协议的签订 14保密协议签订 人员离职或转岗时,对其使用或拥有帐户进行注销或修改,对其使用 /管理的信息资产进行处理(可选方式：交接给其它人员、数据备份 、数据删除等） 离职或转岗人员信息资 产交接和权限调整 15 16人员背景调查 对新入职的人员进行背景调查,并提供背景调查的证据