2024網(wǎng)絡(luò)安全審查專項(xiàng)要求

PAGEPAGE11網(wǎng)絡(luò)安全審查專項(xiàng)要求2024什么是《專項(xiàng)要求》？??專項(xiàng)要求B。為什么需要《專項(xiàng)要求》？應(yīng)用《專項(xiàng)要求》的目的在于加強(qiáng)內(nèi)部審計(jì)職能與不斷變化的全球風(fēng)險(xiǎn)環(huán)境的持續(xù)相關(guān)性，并提高各行業(yè)和部門內(nèi)部審計(jì)服務(wù)的價(jià)值。遵循《專項(xiàng)要求》將有助于內(nèi)部審計(jì)人員提高業(yè)務(wù)質(zhì)量和一致性?！秾ｍ?xiàng)要求》的結(jié)構(gòu)為在三個(gè)領(lǐng)域開展內(nèi)部審計(jì)服務(wù)提供了指導(dǎo)：治理、風(fēng)險(xiǎn)管理和控制流程。每個(gè)領(lǐng)域包括：A。質(zhì)量評估將對是否遵循《專項(xiàng)要求》進(jìn)行評價(jià)。在準(zhǔn)備質(zhì)量檢查時(shí)，內(nèi)部審計(jì)人員應(yīng)使用附錄B中提供的工具來說明是否遵循每項(xiàng)要求，或解釋未達(dá)到要求的原因。網(wǎng)絡(luò)安全專項(xiàng)要求評價(jià)和評估網(wǎng)絡(luò)安全的治理、風(fēng)險(xiǎn)管理和控制流程的有效性。本專項(xiàng)要求為評估網(wǎng)絡(luò)安全治理、風(fēng)險(xiǎn)管理和控制流程的設(shè)計(jì)和實(shí)施提供了一致、全面的方法。治理：評價(jià)和評估網(wǎng)絡(luò)安全治理要求：：、COBIT等）加強(qiáng)控制環(huán)境的實(shí)踐。風(fēng)險(xiǎn)管理：評價(jià)和評估網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理要求：//或服務(wù)提供商必須實(shí)施有效的網(wǎng)絡(luò)安全控制措施，以充分保護(hù)第三方可訪問的組織系統(tǒng)和數(shù)據(jù)的保密性、完整性和可用性。和準(zhǔn)確地記錄數(shù)據(jù)，并保護(hù)敏感信息的機(jī)密性和隱私。控制：評價(jià)和評估網(wǎng)絡(luò)安全控制流程要求：在執(zhí)行包含網(wǎng)絡(luò)安全目標(biāo)的內(nèi)部審計(jì)任務(wù)時(shí)，內(nèi)部審計(jì)人員必須評估組織的控制流程能否充分應(yīng)對網(wǎng)絡(luò)安全問題。內(nèi)部審計(jì)人員必須評估組織是否：最大化。了解如何以最佳方式部署網(wǎng)絡(luò)安全工作，以影響更廣泛的組織目標(biāo)和目的。/以及使用入侵檢測/預(yù)防系統(tǒng)等預(yù)防和檢測技術(shù)。（相關(guān)標(biāo)準(zhǔn)：3.1勝任能力4.2應(yīng)有的職業(yè)審慎9.1了解治理、風(fēng)險(xiǎn)管理和控制流程9.4內(nèi)部審計(jì)計(jì)劃12.3監(jiān)督和改進(jìn)項(xiàng)目績效相關(guān)的全球技術(shù)審計(jì)指南(GTAG)：評估網(wǎng)絡(luò)安全風(fēng)險(xiǎn)：三線模型業(yè)務(wù)應(yīng)用程序?qū)徲?jì)網(wǎng)絡(luò)事件響應(yīng)和恢復(fù)審計(jì)網(wǎng)絡(luò)安全運(yùn)行審計(jì)：預(yù)防和檢測身份和訪問管理審計(jì)IT治理審計(jì)移動(dòng)計(jì)算審計(jì)網(wǎng)絡(luò)和通信管理審計(jì)附錄A.考慮因素針對各項(xiàng)治理要求的考慮因素：為評估如何將基本治理流程應(yīng)用于網(wǎng)絡(luò)安全目標(biāo)，內(nèi)部審計(jì)人員可檢查以下內(nèi)容：）況。/針對各項(xiàng)風(fēng)險(xiǎn)管理要求的考慮因素：為評估網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理的必要方面，內(nèi)部審計(jì)人員可檢查以下內(nèi)容：有關(guān)威脅。/。構(gòu)定期討論網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的證據(jù)。如a./守組織政策和適用法規(guī)。針對各項(xiàng)控制流程要求的考慮因素：為評估網(wǎng)絡(luò)安全控制的必要方面，內(nèi)部審計(jì)人員可檢查以下方面的內(nèi)容：安全控制措施時(shí)，應(yīng)包括軟件實(shí)現(xiàn)的范圍和目標(biāo)。需求（如平臺(tái)、用戶界面、數(shù)據(jù)庫等），應(yīng)在所有設(shè)計(jì)方面確定控制措施。新出現(xiàn)的風(fēng)險(xiǎn)和威脅得到適當(dāng)控制，并確保終端用戶了解任何已知的漏洞。//MS.exe/。附錄B.記錄專項(xiàng)要求遵循情況的工具網(wǎng)絡(luò)安全-治理要求是否遵循(是/否/部分）獲得的證據(jù)或排除的理由A.制定并定期更新與網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理流程相關(guān)的政策和程序，包括推動(dòng)基于廣泛采用的框架（NIST、COBIT等）加強(qiáng)控制環(huán)境的實(shí)踐。B.明確規(guī)定支持組織網(wǎng)絡(luò)安全目標(biāo)的角色和職責(zé)，且有關(guān)職責(zé)得到妥善履行。C.定期向董事會(huì)通報(bào)網(wǎng)絡(luò)安全目標(biāo)、戰(zhàn)略、風(fēng)險(xiǎn)和用于降低風(fēng)險(xiǎn)的控制措施的更新情況。（E（）。網(wǎng)絡(luò)安全-風(fēng)險(xiǎn)管理要求是否遵循(是/否/部分）獲得的證據(jù)或排除的理由A.建立全組織范圍的風(fēng)險(xiǎn)管理流程，包括識(shí)別、分析和管理與信息技術(shù)和安全有關(guān)的風(fēng)險(xiǎn)，特別關(guān)注網(wǎng)絡(luò)安全風(fēng)險(xiǎn)以及這些風(fēng)險(xiǎn)可能如何影響組織實(shí)現(xiàn)其目標(biāo)的能力。B.（）（）C.制定并定期更新與網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理有關(guān)的政策和程序，包括推廣基于廣泛采用的風(fēng)險(xiǎn)管理框架、權(quán)威指南或最佳做法的加強(qiáng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理流程的做法。D.建立了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理的問責(zé)制和責(zé)任制，并確定了個(gè)人或團(tuán)隊(duì)定期監(jiān)測和通報(bào)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的管理情況，包括降低風(fēng)險(xiǎn)所需的資源和發(fā)現(xiàn)新興網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。E.根據(jù)組織既定的風(fēng)險(xiǎn)管理指引，或?yàn)樽袷剡m用的法律和/或監(jiān)管要求，建立對應(yīng)的流程，以便在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)（新出現(xiàn)的或以前要求是否遵循(是/否/部分）獲得的證據(jù)或排除的理由發(fā)現(xiàn)的）上升到不可接受水平時(shí)，快速上報(bào)風(fēng)險(xiǎn)。G.制定了識(shí)別和管理與第三方有關(guān)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的流程。根據(jù)合同規(guī)定，銷售商、供應(yīng)商和其他外包流程和/或服務(wù)的提供商必須實(shí)施有效的網(wǎng)絡(luò)安全控制措施，以充分保護(hù)他們所訪問的組織系統(tǒng)和數(shù)據(jù)的保密性、完整性和可用性。H.I.建立了網(wǎng)絡(luò)安全操作風(fēng)險(xiǎn)溝通流程，確保管理層和員工有適當(dāng)?shù)恼J(rèn)識(shí)。向董事會(huì)和管理層通報(bào)問題、差距、缺陷和控制失誤，并密切監(jiān)控和報(bào)告補(bǔ)救狀況。及時(shí)發(fā)現(xiàn)、調(diào)查、報(bào)告和糾正不遵守網(wǎng)絡(luò)安全政策的情況。網(wǎng)絡(luò)安全--控制流程要求是否遵循(是/否/部分）獲得的證據(jù)或排除的理由A.確定了網(wǎng)絡(luò)安全控制的優(yōu)先順序，確保分配相關(guān)預(yù)算和資源（具，以實(shí)現(xiàn)預(yù)期效益最大化。B.確保網(wǎng)絡(luò)安全控制以促進(jìn)實(shí)現(xiàn)組織網(wǎng)絡(luò)安全目標(biāo)和及時(shí)解決問題的方式運(yùn)行。C.為負(fù)責(zé)網(wǎng)絡(luò)安全操作的人員提供足夠的培訓(xùn)。D.制定了充分的政策和程序，以管理網(wǎng)絡(luò)安全操作和相關(guān)控制的各個(gè)方面。E.確保管理層擁有必要的資源，能夠隨時(shí)了解新技術(shù)帶來的新興網(wǎng)絡(luò)安全問題，確定改進(jìn)業(yè)務(wù)的機(jī)會(huì)，并了解如何以最佳方式部署網(wǎng)絡(luò)安全工作，以影響更廣泛的組織目標(biāo)和目的。要求是否遵循(是/否/部分）獲得的證據(jù)或排除的理由F.將網(wǎng)絡(luò)安全充分納入業(yè)務(wù)應(yīng)用程序（包括軟件和購置或定制開發(fā)的應(yīng)用程序）的系統(tǒng)開發(fā)生命周期。G.已將網(wǎng)絡(luò)安全納入硬件（筆記本電腦、臺(tái)式電腦、移動(dòng)設(shè)備等）管理。H.已對生產(chǎn)硬件支持實(shí)施有效控制，如配置、打用性和性能。適當(dāng)性和運(yùn)行的有效性進(jìn)行了評估。I.優(yōu)化與網(wǎng)絡(luò)有關(guān)的控制措施，包括網(wǎng)絡(luò)分段、使用和部署防火墻、限制與外部網(wǎng)絡(luò)和/或系統(tǒng)的連接，以及使用入侵檢測/預(yù)防系統(tǒng)等預(yù)防和檢測技術(shù)。J.對電子郵件、互聯(lián)網(wǎng)瀏覽器、視頻會(huì)議、信息傳遞和文件共享協(xié)議等常用桌面通信服務(wù)實(shí)施