IT审计要求

∙IT 预算、策略和年度规划 （2005—2007 年)

∙IT 内部、IT 与业务部门、IT 与管理层之会议记录

∙与第三方供货商之服务协议 （若 IT 服务外判)

∙IT 风险评估制度和报告

∙财务系统与其它系统间之数据流程图

∙IT 内部审计报告和审计发现之跟进

2、有完善的费用预算机制，有经过授权并正式签发的费用预算文件；有与公司战略相匹配的IT策略及每年的年度规划；

3、内部、与业务部门、与管理层之间的会议记录；

4、签订相关服务合同；

5、完善的风险评估机制，或引进专业风险评估机构；

6、提供数据流程图；

7、应建立内审机制并定期内审，以辅助外审，建议引进专业机构定期内审。

∙令员工充份了解信息技术安全规章制度的措施

∙信息安全培训记录

2、规章制度写入员工手册并印发,新员工入职便能了解公司要求，并做定期培训，做好培训记录.

∙保安设施 (如门禁系统、访客记录）

2、机房管理:专人管理钥匙、有访客记录、机柜门应上锁；

3、服务器管理：密码变更设置（文档/流程/频率）、密码策略(windows/sql用户密码强制策略、windows帐号锁定策略、密码长度8位以上、历史密码6次）、windows界面自动锁定、应急管理/流程（备用钥匙、密码文件密封置于机房上锁的柜子中或密封的信封里面）；

4、机房显眼处应有机房管理制度；

∙用户设置不同系统权限之制度和审批等步骤

∙不同权限是否显示在用户申请表上

(需抽样申请表格 – 参见附注）

2、完整的用户帐号增加、修改、删除审批流程;

3、用户帐号审批流程中应体现具体的权限选择；

∙用户部门及 IT 部门审批程序， 申请表格之处理和保存 (需抽样申请表格， 可和上面的样本相同）

2、有与人力资源中心提供的入职、离职名单相匹配的用户帐号增加、删除记录;

∙密码长度

∙密码最大更改日数

∙密码复杂性

∙可重用旧密码次数

∙锁定用户前之容许错误登录次数

2、错误密码登陆次数应不超过3次，且系统应用提示信息；

3、密码修改时应不允许与原密码相同的密码进行修改操作，应有历史密码控制策略;

4、对各种不同密码的变更频率及设置要求等应有完整的密码管理制度；

∙拥有超级用户的人员名单

2、对拥有超级用户权限的人员应严格控制；

∙系统变更审批、开发、测试 (用户及 IT） 之步骤及记录 （需抽样各阶段之文件及记录– 参见附注)

2、变更过程中应有各种表单支持，如用户申请、上级审批、开发需求、IT测试、用户测试、实施记录、用户签收等相关表单;

3、测试环境与正式业务系统环境应有严格区分，并有证据证明（可截图说明）；  

4、紧急变更中应体现允许时候补走流程的内容； 

5、系统中应有系统变更的日志记录，以方便查询历史变更；

∙开发人员和上线人员之分工 (开发人员没有生产环境之权限） 之证明

∙开发环境和测试环境之逻辑或物理分开之证明

∙系统变更审批、测试 （用户及 IT) 之步骤及记录 (需抽样各阶段之文件及记录– 参见附注)

(如适用）

2、每天的自动备份文件应保留6天以上而不能每天自动覆盖；且要有每天的备份任务执行情况的检查记录;  

3、应有多重的备份机制,如本地磁盘备份、磁带备份、光碟备份、异地备份；  

4、应有完善的备用环境，如异地双机热备;  

5、对备份介质应定期进行恢复测试，有相关业务部门进行确定数据的准确性，并保留相关记录，该记录要求有用户、信息部门、管理层签字确认；

6、异地备份的物理环境应同于实际业务环境,以确保实际环境发生意外时备用环境能立即切换启用；   

7、对于异地备份根据区域的不同可有不同的定义，不一定要求在5公里以上的间隔距离；

∙异地备份之物理安全 （需抽样异地备份转移记录）

2、问题的处理应有跟踪反馈机制，确保问题被及时有效解决。

2、对禁止使用盗版软件应有严格规定并依此执行；