安全审计

本文约需 2 分钟阅读

安全审计是指系统性地评估组织的安全措施是否符合方针、标准和法律法规的活动。与渗透测试侧重于发现技术性漏洞不同，安全审计会对策略、流程和技术性措施进行全面评估。截至 2025 年，随着云环境审计自动化工具 (CSPM) 的普及，持续审计正逐步成为现实。

把整改放在人的流程上，还是放在机制上

离职或调岗人员的账户仍然存在，是审计中反复出现的一类问题。若运营方式是负责人在收到离职通知后手动停用，那么即便手册齐备，也无法完全防止执行上的遗漏，而是否发生了遗漏，要等到事后核对记录才能知道。整改的方向大致分为两种：一是把流程细化，增加确认栏与审批环节；二是把权限的停用与另行维护的事实联动，使其成为默认动作。前者会增加运营负担，而且是否执行仍取决于人的作业。后者以在职状态这类人事侧必然会更新的记录作为输入来撤销权限，因此结果不取决于负责人是否记得。向审计方出示的内容也随之改变：前者需要每次整理该期间的执行记录，后者只需出示联动的配置与例外处理的记录即可。对指出问题的回应，是止于修正这一次的遗漏，还是能够表明同样的遗漏已不会再发生，这将决定其在此后审计中的处理方式。

审计流程

审计的种类

内部审计由组织内部的审计团队实施，用于改进日常的安全运营。外部审计由独立的第三方机构实施，是进行客观评估和取得认证 (如 ISO 27001 、 SOC 2 等) 所必需的。合规审计用于验证是否遵守特定法律法规或行业标准 (PCI DSS 、 HIPAA)。技术审计则详细检查系统配置、访问控制、日志管理等技术性措施。

审计的实施流程

标准的审计流程遵循“计划 → 信息收集 → 评估 → 报告 → 跟进”的步骤。在计划阶段确定审计范围和标准；信息收集阶段进行策略文档审阅、对相关人员的访谈以及系统配置的确认。评估阶段将发现事项按风险等级 (高、中、低) 分类，并在报告中记载改进建议。跟进阶段追踪建议事项的处理状况。企业密码策略的遵守情况，也是审计的重要检查项目。

有效审计的要点

重要的是不要陷入“为审计而审计”。不应只是形式化地填写检查清单，而应验证实际运营是否按照方针运转。例如，即便存在“密码每 90 天更换一次”的策略，实际上未由系统强制执行的情况也并不少见。应推荐使用强随机密码，并通过定期演练来验证数据泄露应对流程是否真正有效。