IT审计清单

我一直在寻找一个通用的审计清单，因为审计员没有提供

这是令人失望的。 我这样做了好几年，对于我们来说，提供详细的评估内容以及为什么（方法论）是一种常见的做法。 我们提交了正式的信息请求，为IT人员提供了运行和收集数据的工具，包括收集过程（如果有）的潜在影响。 我们还必须安排详细的议程，这通常意味着他们知道会发生什么。 在这样的倡议下，沙袋里没有任何build设性的目的。 问题通常很多，而且大多数IT人员都愿意讨论他们，如果这项工作是正确的。

也就是说，如果你看，那里有很多的清单。 但是，这一努力的主要目标应该是尽可能多地展现问题，优先考虑问题并制定补救行动计划。 我不会太在意“准备”。 既然你最近已经开始了，应该有一个了解，那个地方一夜之间没有崩溃。

如果您承认需要改进的networking收到了良好的报告，那可能会浪费公司的资金。

我会做一个轻率的假设，并假设你在问如何准备一个以技术为重点的内部安全审计，甚至可能是渗透testing。

如何准备在技术方面进行安全审计将取决于审计的目标。 如果目标是为了定义如何改进基础设施的规范，那么您可能什么也不做。 如果目标是确保没有差距，我build议在审计之前进行差距分析，纠正发现的差距。

对于基本的IT最佳实践，我build议参考PCI DSS 。 当然，它包含了你应该做的很明显的事情，比如修补软件的安全漏洞。

要复制安全审计，我首先回顾一下开源安全testing方法手册中详细介绍的渗透testing方法。 （OSSTMM）

如果你正在寻找更多的细节，我会鼓励你重新写你的问题不太模糊。

当你制作机器的时候，你应该确保你在NSA的安全指南中尽可能多的点到达实际情况（有些东西可能是你的情况矫枉过正）：

http://www.nsa.gov/ia/mitigation_guidance/security_configuration_guides/

而当你build立机器时，你应该以自动化的方式来做，每个人都可以从头开始。 通过安装媒体“手工”build设，可能会容易出错，你会错过任何东西。

自动化！ 自动化！ 自动化！

任何半正规程序都应该尽可能地编写脚本。 这包括系统安装，修补，漏洞扫描/审计，密码强度testing。

我build议你花一些时间阅读COBIT，那就是控制IT的目标。 事实上，它被许多审计公司用来审计IT领域。

我还build议你使用nessus（这将检查您的networking/服务器的漏洞）或mbsa（微软基准安全分析器）等工具，但它只会检查Windows硬件。

既然你问了一个出发点，我认为这可以帮到你。

根据我的经验，如果没有规定要求审计，通常意味着资产审计。 这是最糟糕的一种，因为那时你需要知道公司确实拥有什么，也许是否合法。

就我个人而言，我想指出“审计”一词是通用的，需要详细说明。 我正式不做任何事情，直到我更进一步，更清晰的方向。 非正式地，我变得非常忙碌，试图确保任何在我的控制下可以被审计的东西都是我能够做到的，只是为了确保我的屁股被覆盖。 然后，当我发现他们实际上是什么后，我把他们以前准备的审计中最相关的事情交给他们。

去每台机器确保其完全更新是不实际的。 这就是OpenVAS存在的原因（OpenVAS是Nessus的新免费版本）。 您可以告诉OpenVAS扫描内部networking上的每台计算机，以确定问题区域。 您还需要远程运行它以了解您的远程攻击面。 你会发现你的防火墙规则集和机器易受攻击的问题。

我希望把你做生意的一个陈述放在一起。 目前的过程（如果存在的话）以及未来应该是什么样的。 如果这是一个渗透testing或安全types的审计，他们会告诉你，它不会跨越其他部门。 可能还需要准备好谈论如何支持其他业务部门的法规遵从性，具体取决于贵公司可能处于的规定。

如果我理解得好，你需要一个检查清单，这似乎是一个很好的起点。 有很多build议你可以用互联网挖掘，但我更喜欢这个 。 除了审核主题，您还可以find其他需要及时更新的主题