信息安全審計

根據(jù)預先確定的審計依據(jù)（信息安全法規(guī)、標準及用戶自己的規(guī)章制度等），在規(guī)定的審計范圍內(nèi)，通過文件審核、記錄檢查、技術(shù)測試、現(xiàn)場訪談等活動，獲得審計證據(jù)，并對其進行客觀的評價，以確定被審計對象滿足審計依據(jù)的程度。

信息安全審計可以使組織掌握其信息安全是否滿足安全合規(guī)性要求的同時，也可以幫助組織全面了解和掌握其信息安全工作的有效性、充分性和適宜性，包括以下方面：

信息安全組織機構(gòu)

信息安全需求管理

信息安全制度建設

信息科技風險管理

信息安全意識教育和培訓

信息資產(chǎn)管理

信息安全事件管理

應急和業(yè)務連續(xù)性管理

IT外包安全管理

業(yè)務秘密保護

存儲介質(zhì)管理

人員安全管理

物理安全

系統(tǒng)安全

網(wǎng)絡安全

數(shù)據(jù)庫安全

源代碼安全

應用安全

ISO/IEC 27001（GB/T22080）信息安全管理體系要求；

GB/T22239信息安全等級保護基本要求；

銀監(jiān)會《商業(yè)銀行信息科技風險管理指引》；

組織自己的信息安全規(guī)章制度。

☆ 揭示信息安全風險的最佳手段

☆ 改進信息安全現(xiàn)狀的有效途徑

☆ 滿足信息安全合規(guī)要求的有力武器

信息安全審計適用于各種類型、各種規(guī)模的組織，特別是對IT依賴度高的組織，如金融、電力、航空航天、軍工、物流、電子商務、政府部門等。各個行業(yè)和部門可以單獨實施信息安全審計，也可以將信息安全審計作為其它審計與信息安全相關(guān)工作的一部分內(nèi)容聯(lián)合實施。如IT審計、信息安全等級保護建設、信息安全風險評估、信息安全管理體系建設等。

信息安全審計師給組織帶來的價值：

1) 信息安全相應崗位人員持證上崗，滿足了政策部門的合規(guī)性要求；

2) 專業(yè)人員的職業(yè)能力提高了組織信息安全保障水平；

3) 為組織實施信息安全崗位績效考核提供了標準和依據(jù)；

4) 專業(yè)人才隊伍的培養(yǎng)和監(jiān)理，提高了組織的核心競爭力。

信息安全審計師給個人帶來的價值：

1) 國家注冊資格給您帶來更多職業(yè)選擇機會；

2) 權(quán)威認證證明您從事信息安全審計和信息系統(tǒng)審計工作的執(zhí)業(yè)能力；

3) 權(quán)威認證提升您職業(yè)選擇中的競爭力；

4) 國家注冊資格給您帶來更多晉升機會。

中國信息安全測評中心鼓勵從事信息安全審計和信息系統(tǒng)審計崗位的工作人員取得國家注冊信息安全審計師認證資格.

取得國家注冊信息安全審計師認證資格，需參加經(jīng)中國信息安全測評中心授權(quán)培訓機構(gòu)的相關(guān)課程培訓，并通過由中國信息安全測評中心組織的相關(guān)考試。

繳納培訓和考試費用。取得注冊資格證書后，按時完成規(guī)定的持續(xù)專業(yè)發(fā)展課程。取得證書三年后希望繼續(xù)保持注冊資格者，需按時繳納證書維持費用；上述收費標準由中國信息安全測評中心統(tǒng)一規(guī)定。

1) 教育與工作經(jīng)歷

博士研究生；碩士研究生以上，具有1年工作經(jīng)歷；或本科畢業(yè)，具有2年工作經(jīng)歷；或大專畢業(yè)，具有4年工作經(jīng)歷。

2) 專業(yè)工作經(jīng)歷

至少具備2年從事信息安全或?qū)徲嬘嘘P(guān)的工作經(jīng)歷。

3) 培訓資格

在申請注冊前，成功地完成了中國信息安全測評中心授權(quán)培訓機構(gòu)組織的注冊信息安全審計師培訓課程，并取得培訓合格證書。

4) 通過由中國信息安全測評中心舉行的注冊信息安全審計師考試。