计算机安全审计与测试全解析
1. 理解计算机安全审计
审计通常指独立评估，计算机安全审计便是对计算机安全的独立评估。当有人对组织进行计算机安全审计时，主要聚焦两个方面：
-非技术层面：独立验证组织是否遵循现有的计算机安全政策和程序。
-技术层面：独立测试安全控制（用于保护系统的硬件和软件机制）的有效性。
进行安全审计的原因和财务审计类似，主要是确保一切按规定执行。无论是独立安全审计还是自我评估，都能带来诸多好处：
- 定期进行风险评估，考虑系统和数据面临的内外部威胁。
- 定期测试安全政策、控制和技术的有效性。
- 识别系统安全中的重大缺陷，以便进行修复。
- 若为自我评估，可帮助组织为年度独立安全测试做好准备。
非技术方面的安全审计
非技术方面的安全审计关注组织的整体安全框架，审查组织在计算机安全政策、计划和程序的制定与实施情况。需要验证的项目包括：
- 有证据表明定期进行风险评估。
- 存在全实体的安全计划。
- 具备安全计划管理结构。
- 明确分配计算机安全职责。
- 有有效的安全相关人员政策。
- 监测安全计划的有效性，并在需要时进行调整。
通常，非技术方面的审计需要审查文件并采访相关人员。对于小型组织或家用电脑，不必苛求有完善的文档化计划和程序，只需确保有技术控制来保护系统和网络连接。
技术方面的安全审计
技术方面的安全审计侧重于测试保护主机和网络的技术控制。测试内容包括：
