涉密审计师

1、 风险分析对以上体系进行风险分析后，发现该体系存在如下风险。1. 信息输入时病毒侵入的风险。通过中间机进行信息输入时，可能会有含恶意代码的病毒随有用信息进入内部各单台计算机。2. 数据丢失的风险。各单台涉密计算机中存储的数据信息可能因各种原因损害，造成数据丢失。3. 体系中各责任人执行规定时懈怠的风险。体系中各责任人在执行相关规定要求时，可能产生懈怠，不按照规定执行，从而产生风险。2、 防护措施针对以上可能存在的风险，制定如下防范措施。(1) 计算机病毒与恶意代码防护1. 每台涉密计算机中必须安装正版瑞星杀毒软件，由使用人员每周进行一次病毒查杀；2. 综合办负责每周更新计算机病毒与恶意代码样本库，以光盘的形式下发给使用人员，由使用人员对所使用的计算机进行病毒库升级。(2) 身份验证所有单台涉密计算机的密码分二级共三种密码。1. 一级密码一级密码为主机BIOS密码，由计算机安全保密管理员掌握。密码有效期为一年，满一年后计算机安全保密管理员进行更换。2. 二级密码（1） 二级密码包括主机开机密码，操作系统密码和屏幕保护密码（操作系统密码和屏幕保护密码相同）。由计算机安全保密管理员统一设置，并配发给涉密机使用人；（2） 密码有效期为30天，满30天后由计算机安全保密管理员进行更换，然后配发给涉密机使用人；（3） 涉密机使用人不得自行更改涉密机的任何密码。3. 密码要求主机BIOS密码和开机密码长度不能少于8个字符，操作系统密码和屏幕保护密码长度不能少于10个字符，字符中需要包括英文字母、数字和字母的大、小写。(3) 物理防护1. 所有涉密计算机要放置在具备防火防盗的房间内，距离其它非涉密通讯设备的安全距离不小于一米。2. 所有涉密计算机与其它非涉密信息设备实行物理隔离。(4) 技术防护除涉密中间计算机外的所有涉密计算机，必须安装和使用国产正版瑞星杀毒软件和经国家保密部门认证合格的《XX非授权外联监管系统》和《XXUSB移动存储介质使用管理系统》进行技术处理，从技术上防止非法外联和非法拷贝。(5) 数据交换1. 除内部单台涉密计算机外，其它数据交换实行单向原则，即数据交换方向只能输入或者只能输出；2. 内部单台涉密机使用绑定的涉密U盘进行数据交换。涉密U盘的使用采用登记制度，责任落实到具体人员。(6) 数据存储1. 所有单台涉密计算机内的数据文件信息（包括输入信息，正在生成的文件等），必须存储在主机的D盘，按照所属项目类别分别存放在相应的文件夹中。并按《计算机和信息系统管理制度》的要求进行标密。2. 未按要求存放数据和标密的，根据情节严重程度和造成的破坏程度进行相应的行政和经济处罚。(7) 数据备份1. 每个项目设计工作完成后，所有与之相关的数据和文件（包括纸介质和电子文档）必须上交给项目负责人或公司保密安全负责人统一办理存档手续（刻录光盘和纸介质存档）；(8) 监督检查1. 每六个月对公司所有计算机进行保密安全检查，对发现的问题及时进行整改；2. 各涉密部门每季度对本部门计算机进行保密安全检查，对发现的问题及时进行整改；3. 涉密计算机的使用人每个月对计算机进行保密安全自查，对发现的问题及时进行整改；4. 每三个月形成文档化的安全保密审计报告，每12个月根据系统综合日志，进行一次风险自评估，形成文档化的风险分析报告，对存在的风险应当及时采取补救措施。

感谢邀请风险点来源于你们单位对自己保密管理体系现状的评估，每个单位的评估结论都不一定一样，我说几点仅供参考。安全审计员的风险点可能包括以下几点：不具备上岗资格或者知识技术水平不足审计内容不全面审计不及时审计报告不完整等等措施就针对上述风险设置预防性要求，比如上岗前检查证书或实际考试，信息化管理部门定期检查等。

可以。三员也是他们所在部门的普通员工。

不会。 第一，将涉密人员管理工作加入人事工作流程。具体工作上要防止3种现象，一是承诺规章制度要有约束力。国家机密载体涉密印制单位录用人员之初，与其签订保密承诺书是必经程序，但承诺书的条款务必条条明确，尤其是涉及应遵守的保密纪律和限制性规定及违反后所应受到的处罚条款，要订具体、涵盖全。签字前，还应让涉密人员逐一阅读、了解、确定，不能走过场。二是工作制度要有执行力。有的保密资格单位在现场审查中丢分较多，就是因为保密工作制度简单照搬国家标准，或简单承袭过去的旧规章制度，使涉密人员无章可循。三是考核机制缺要有励作用。有的保密资格单位对于涉密人员仅有的一次考评仍归总在年终，属于职工一年工作的总体评价，也有的保密资格单位考评后的奖金按照一个标准发放，没有体现出特殊作用和贡献，令考核机制失去了激励作用。第二，确定工作人员保密范围，及时向有关部门报备。涉密人员范围定准了，才可以合理提升保密管理方法的目的性、实效性，不然不仅会发生管理混乱，还会增加管理方法成本和无效劳动。此外，保密资格单位还应将涉密人员的基础状况以及调整变动状况，向省(自治区、直辖市)保密行政管理部门报备。第三，提升管理方法，必须重视培训环节。对拟进入涉密职位工作的人员应开展保密教育培训，保证其了解保密相关法律法规，把握履行岗位工作职责所需的保密知识和技能。未经保密教育培训的有关人员，不得上岗工作。第四，健全考评监管评价指标，提高管理水平。涉密人员的考核内容不能走过场，不仅合乎本单位生产经营管理具体情况，又要具有实操性。另外，还需要将保密工作考评列入绩效考评中，采用定期考评监管评价的方式，提高保密管理方面的执行力。只有及时全方位地对涉密人员开展考评监管评价，才可以及时调整健全管理方法措施，不断提升管理水平。

风险点：不具备上岗资格或者知识技术水平不足 ， 审计内容不全面 ，审计不及时 ，审计报告不完整，信息输入时病毒侵入的风险。 通过中间机进行信息输入时，可能会有含恶意代码的病毒随有用信息进入内部各单台计算机。数据丢失的风险。 各单台涉密计算机中存储的数据信息可能因各种原因损害，造成数据丢失。防护措施 针对以上可能存在的风险，制定如下防范措施。 (1) 计算机病毒与恶意代码防护 ：每台涉密计算机中必须安装正版瑞星杀毒软件，由使用人员每周进行一次病毒查杀。 综合办负责每周更新计算机病毒与恶意代码样本库，以光盘的形式下发给使用人员，由使用人员对所使用的计算机进行病毒库升级。 (2) 身份验证 所有单台涉密计算机的密码分二级共三种密码。一级密码为主机BIOS密码，由计算机安全保密管理员掌握。密码有效期为一年，满一年后计算机安全保密管理员进行更换。二级密码包括主机开机密码，操作系统密码和屏幕保护密码（操作系统密码和屏幕保护密码相同）。由计算机安全保密管理员统一设置，并配发给涉密机使用人；密码有效期为30天， 涉密机使用人不得自行更改涉密机的任何密码。⑶密码要求 主机BIOS密码和开机密码长度不能少于8个字符，操作系统密码和屏幕保护密码长度不能少于10个字符，字符中需要包括英文字母、数字和字母的大、小写。⑷技术防护 除涉密中间计算机外的所有涉密计算机，必须安装和使用国产正版瑞星杀毒软件和经国家保密部门认证合格的《XX非授权外联监管系统》和《XXUSB移动存储介质使用管理系统》进行技术处理，从技术上防止非法外联和非法拷贝。

主要是审计安全保密管理员和系统管理员所有操作是否符合策略规定，是否经过审批，是否留存完整操作记录，是否与审计日志相符。同时审计员本身也应该作为一个普通用户被安全保密管理员和系统管理员审计。