4論通信企業(yè)信息安全審計(編輯修改稿)
2024-09-04 02:02 本頁面
【文章內(nèi)容簡介】 默認(rèn)密碼。 2 獲取并查看公司對業(yè)務(wù)數(shù)據(jù)加密的管理規(guī)定和要求；訪談應(yīng)用管理員，了解業(yè)務(wù)數(shù)據(jù)加密情況，并獲取相關(guān)證明資料； 3 獲取并查看公司在安全性掃描方面的管理制度；訪談相關(guān)人員，了解安全 性掃描執(zhí)行情況；通過掃描生產(chǎn)環(huán)境、開發(fā)環(huán)境和測試環(huán)境操作系統(tǒng)和數(shù)據(jù)庫的方式，測試生產(chǎn)環(huán)境、開發(fā)環(huán)境和測試環(huán)境的操作系統(tǒng)和數(shù)據(jù)庫是否存在漏洞；訪談相關(guān)人員，確認(rèn)未打補(bǔ)丁的漏洞 第 3 頁 共 5 頁 的合理性；風(fēng)險 3：網(wǎng)絡(luò)架構(gòu)及防火墻設(shè)置不當(dāng)?shù)确矫娴目刂骑L(fēng)險。包括：網(wǎng)絡(luò)保護(hù)和劃分不當(dāng)，存在計算機(jī)環(huán)境被攻擊的風(fēng)險；防火墻控制不當(dāng)，存在未授權(quán)訪問、關(guān)鍵設(shè)備保護(hù)不當(dāng)?shù)娘L(fēng)險；服務(wù)器間傳輸未加密，存在數(shù)據(jù)泄露的風(fēng)險等。審計方法： 1 獲取并查看公司網(wǎng)絡(luò)管理制度流程、網(wǎng)絡(luò)拓?fù)鋱D；訪談網(wǎng)絡(luò)管理員，了解生產(chǎn)服務(wù)器是否在獨(dú)立網(wǎng)段，此網(wǎng)段是否存在非生產(chǎn)服務(wù)器 ；了解外包人員所在網(wǎng)段是否為獨(dú)立網(wǎng)段。 2 獲取并查看公司防火墻管理制度流程，獲取生產(chǎn)服務(wù)器所在網(wǎng)段防火墻訪問控制列表；通過在非生產(chǎn)網(wǎng)段個人計算機(jī)掃描生產(chǎn)網(wǎng)段 ip 地址的方式，測試生產(chǎn)網(wǎng)段向非生產(chǎn)網(wǎng)段開放了那些 ip 地址和端口，確認(rèn)已開放 ip 地址和端口的合理性。 3
公司管理相關(guān)推薦
鄂ICP備17016276號-1