35、计算机安全审计与测试全解析

计算机安全审计与测试全解析

1. 理解计算机安全审计

审计通常被认为是税务审计，但其实还有很多不同类型的审计，其中之一就是计算机安全审计。计算机安全审计的基本目的是测试系统和网络的安全性。对于大型组织，可以聘请独立审计师进行安全审计，就像财务报表审计一样；而对于只有少数 Linux 系统或小型网络的情况，也可以进行自我评估，以确定系统安全措施是否到位。

计算机安全审计主要关注两个方面：
- 非技术方面 ：独立验证组织是否遵守现有的计算机安全政策和程序，这部分审计涉及审查文档和访谈相关人员，以了解组织如何管理计算机安全。需要验证的项目包括：
- 定期进行风险评估的证据。
- 存在全组织范围的安全计划。
- 具备安全计划管理结构。
- 明确分配计算机安全职责。
- 有有效的安全相关人员政策。
- 监控安全计划的有效性，并在需要时进行更改。
- 技术方面 ：独立测试安全控制（用于保护系统的硬件和软件机制）的有效性。这包括确定主机和网络的安全程度，如操作系统补丁是否应用、文件权限是否正确设置、用户账户是否受保护、网络服务是否关闭不必要的等。通常，安全专家会使用自动化工具对单个主机和整个网络进行这两项安全审查。

安全审计的好处包括：
- 定期进行风险评估，考虑系统和数据的内外部威胁。
- 定期测试安全政策、控制和技术的有效性。
- 识别系统安全中的重大缺陷，以便知道需要修复的内容。
- 在自我评估的情况下，为组织可能面临的年度独立安全测试做准备。

2. 实施安全测试方法 </