评估概览
评估内容
审计目标、业务边界、控制标准、证据所有者和时间表
文件、访谈、配置和抽样证据审查
评估治理、访问、漏洞、日志记录、弹性及供应商控制措施
验证和分类已观察到的控制差距及相关风险
范围说明、观察结果、风险登记册、改进计划及管理层简报
测试覆盖范围
检查内容
最终覆盖范围取决于约定的系统、访问权限、目标、排除项目及安全要求。
安全治理及资产所有权
身份和访问管理
安全配置与变更控制
漏洞与补丁管理
日志记录、监控、备份和恢复
供应商、事件和连续性流程
行业参考资料
如何获取覆盖范围信息
ISO/IEC 27001控制领域
商定信息安全管理和控制主题的审计准则；不提供认证。
CIS Controls
跨技术和运营控制的优先防护措施和证据审查。
NIST 网络安全框架
跨越治理、识别、保护、检测、响应和恢复的风险与能力情境。
CIS Benchmarks
选定系统的配置准则，如包含在范围内。
这些参考资料为评估提供依据。测试本身并不提供认证或保证合规。
最终报告
报告中包含的内容
报告专为决策者和负责修复的团队而设计。
审计范围和标准声明
有证据支持的观察结果
控制差距和风险登记册
优先改进计划
管理层简报和后续审查
讨论所需的范围和报告。
DIGITPOL HK 将在测试前确认目标、限制、证据需求和报告要求。