ISO27001认证

信息安全审计
虚假授信 不记名方式转账
对员工操作合理留痕
信息安全审计 -》独立于评审对象的评审人员。以第三方的客观立场对以计算机为核心的信息系统进行审计

信息安全评审的目标
1、促进遵循国家法律法规
2、维护内部资金安全
3、上市认证

ISO27001 个人信息管理体系认证
CMMI 软件开发能力成熟度认证
ISO22901 业务连续性管理体系认证

ISO27001 -》世界上应用最广泛的权威国际信息安全管理标准

SOC报告 -》对于大量使用云服务的企业
SOC1 SOC2 SOC3

ISO27001信息安全体系建设实施方法论
计划、实施、检查、改进

风险评估的流程
风险识别-》控制识别-》风险评估（对日常经营影响等做风险可能性评估）-》控制有效性评估（设计有效性、运行有效性（上级开权限，影响线上的操作是否经过评审、从刚入职到离职的同事中抽查访谈）、常见测试方法）-》缺陷发现（设计缺陷、运行缺陷、增值发现）

信息安全评审的基本方法：
询问、观察（数据库root账户、密码是否简单）、检查（穿行测试、符合性测试、实质性测试）

人力资源管理-》人员背调记录、培训记录
资产管理-》定期维护资产清单、确认资产责任人、资产使用流程
访问控制-》限制对目标或信息处理的访问、防止受保护信息被修改被删除、限制及控制特权的分配及使用（申请、撤销、修改账号要留存记录；关注特权账户的审批流程-》审批留痕）、定期对用户和用户访问权限进行复核（离职账号的删除、外包人员的离职及调岗）、在系统中设置密码策略 -》正确的人访问正确的资产

物理和环境安全
出入机房规则、出入机房记录、机房维护记录

操作安全
配置变更、上线变更（测试记录、回滚计划）
容量监控记录 -》达到阈值的报警
备份数据，进行备份数据的恢复演练
漏洞监控-》记录
补丁更新记录
软件安装黑白名单

通信安全
网络及网络基础设施安全
通信合同、网络合同

系统获取、开发和维护
确保测试数据的使用安全（数据合理脱敏、不使用真实数据）
在系统上线、变更需引入安全团队
安全团队在受理了口头和文字记录上的需求，需发邮件确认

供应商关系
外包商的管理（咨询和外包同学）-》资质准人、服务水平

信息安全管理
受理统计记录、监控记录

日常留痕
日常工作的执行记录、关键任务和节点记录、重要事项记录、IT系统和设备自动生成的记录、外部系统的记录

建议：
1、形成工作留痕意识
2、严格执行工作规范
3、使用官方沟通途径和工具
4、妥善留存