一、安全审计是从管理和技术两个方面检查安全策略和控制措施的执行情况，进而发现数据安全隐患的过程。

二、医院纪检监察部门及信息网络安全管理部门定期进行安全审计工作，应根据审计内容确定安全审计周期。医院至少每年进行1次信息网络安全独立审计工作，可结合单位春季、冬季安全检查进行。如当期国内发生重大信息网络安全事件，则须强制执行医院范围内的信息网络安全审计。

三、信息网络安全管理部门负责制定信息网络安全审计工作的组织方式和对审计结果的处理方法。

四、安全审计分为管理和技术两个方面。

所有人员（包括第三方）都应履行其在业务流程中承担的职责，管理人员应在其职责范围内确保安全策略和控制措施得到有效落实。管理审计侧重检查以上内容的执行结果和执行过程。

技术审计检查安全策略和控制措施中技术层面的落实情况。必要时技术审计可以利用专业技术手段和适当的审计工具进行。

五、安全审计范围包括：

1.服务器和重要客户端上的所有操作系统用户和其他用户；

2.网络、安全设备上的所有用户；

3.执行安全管理制度填写各类记录表单的相关人员。

4.安全审计的内容主要包括：

1）相关法律法规的符合情况；

2）管理部门的相关管理要求的符合情况；

3）现有安全技术措施的有效性；

4）安全配置与安全策略的一致性；

5）安全管理制度的执行情况；

6）安全检查和自查的检查结果及检查报告；

7）日志信息是否完整记录；

8）各类重要记录是否免受损失、破坏或伪造篡改；

9）检查系统是否存在漏洞；

10）检查数据是否具备安全保障措施。

六、资产责任人为安全审计提供支持，对安全审计中发现的问题进行分析，确定并采取必要的整改措施。网络与信息网络安全领导小组应跟踪督促责任人按期完成整改。

七、制定基于审计结果的奖惩措施，纳入被审计方的考核内容。

八、安全审计方应秉承客观、公正、公平的原则实施审计活动。审计方与被审计方保持独立，包括审计职责和流程，以确保审计结果的公正可靠。

九、审计方应详细记录安全审计活动过程和后续整改工作过程。安全审计活动和后续整改工作应被正式记录并保存。

十、为最大限度降低安全审计对正常运营造成的影响，采用以下措施控制安全审计过程：

1.审计时间、内容和范围应得到网络与信息网络安全领导小组办公室的批准；

2.有可能对关键业务系统造成负面影响的安全审计活动必须经过网络与信息网络安全领导小组的批准；

3.明确审计所需的资源，做好工作计划和安排；

4.检查应仅限于对系统的“只读”访问；非“只读”访问仅限于被隔离的数据拷贝，并在检查结束后删除全部修改的内容；

5.特殊或者额外的处理要求应与相关业务部门确认，并得到管理部门批准；

6.审计所涉及的所有访问过程都应被监控并记录，以便跟踪调查；

7.审计过程的所有程序、要求和职责都应被记录在案。

十一、严密保护审计记录，防止审计记录用于不良目的，避免泄露被审计对象的安全属性。严密保护审计工具，防止任何不当使用行为对系统的安全性造成威胁。

本文经许可后转自[云南HIT公众号]