信息系統(tǒng)一般控制審計課件

信息系統(tǒng)審計20一級章節(jié)第六章信息系統(tǒng)一般控制審計

第一節(jié)信息系統(tǒng)硬件一、硬件獲取(一)招標書信息系統(tǒng)審計20一級章節(jié)第六章信息系統(tǒng)一般控制審計

1信息系統(tǒng)審計211.組織環(huán)境2.處理需求3.硬件需求4.系統(tǒng)軟件5.支持需求6.適應(yīng)需求7.實施需求8.約束條件(二)獲取步驟信息系統(tǒng)審計211.組織環(huán)境2.處理需求3.硬件需求4.系統(tǒng)2信息系統(tǒng)審計22(1)好轉(zhuǎn)時間——發(fā)生故障時,幫助臺或廠商從登錄系統(tǒng)到解決問題所需的時間。(2)響應(yīng)時間——系統(tǒng)響應(yīng)一個特定的用戶查詢所需的時間。(3)吞吐量——單位時間內(nèi)系統(tǒng)的有效工作量,吞吐量的衡量指標可以是每秒執(zhí)行的指令。(4)數(shù)或其他性能單位。(5)負載——執(zhí)行必要工作的能力,或系統(tǒng)在給定時間區(qū)間內(nèi)能完成的工作量。(6)兼容性——供應(yīng)商提供的新系統(tǒng)對現(xiàn)有應(yīng)用的運行支持能力。(7)容量——新系統(tǒng)處理并發(fā)網(wǎng)絡(luò)應(yīng)用請求的數(shù)目,以及系統(tǒng)能夠為每個用戶處理的數(shù)據(jù)量。(8)利用率——新系統(tǒng)可用時間與故障時間之比。(三)硬件獲取過程的控制與審計信息系統(tǒng)審計22(1)好轉(zhuǎn)時間——發(fā)生故障時,幫助臺或廠商從3信息系統(tǒng)審計23二、硬件維護三、硬件監(jiān)控(一)硬件錯誤報告(二)可用性報告(三)利用率報告四、硬件的容量管理

信息系統(tǒng)審計23二、硬件維護三、硬件監(jiān)控(一)硬件錯誤報告(4信息系統(tǒng)審計24

第二節(jié)信息系統(tǒng)軟件一、信息系統(tǒng)軟件組成(一)操作系統(tǒng)(二)數(shù)據(jù)庫管理系統(tǒng)1.程序開發(fā)的難易程度2.數(shù)據(jù)庫管理系統(tǒng)的性能分析3.對分布式應(yīng)用的支持信息系統(tǒng)審計24

第二節(jié)信息系統(tǒng)軟件一、信息系統(tǒng)軟件5信息系統(tǒng)審計254.并行處理能力5.可移植性和可擴展性二、軟件獲取與實施

第三節(jié)訪問控制一、制定訪問控制的制度、程序和計劃信息系統(tǒng)審計254.并行處理能力5.可移植性和可擴展性二、軟6信息系統(tǒng)審計26(一)訪問控制要求(二)形成訪問控制策略文件二、實施有效的識別和認證機制三、實施有效的授權(quán)控制(一)管理用戶賬號(二)控制進程和服務(wù)四、執(zhí)行有效的審計和監(jiān)督1.制訂并核準有效的事件應(yīng)對計劃信息系統(tǒng)審計26(一)訪問控制要求(二)形成訪問控制策略7信息系統(tǒng)審計272.有效記錄并確認事件3.正確分析事件并采取適當(dāng)行動五、物理訪問控制

第四節(jié)職責(zé)分離一、制定職責(zé)分離的管理制度信息系統(tǒng)審計272.有效記錄并確認事件3.正確分析事件并采取8信息系統(tǒng)審計28二、員工明確其崗位職責(zé)三、對關(guān)鍵崗位進行監(jiān)控

第五節(jié)一般控制審計程序一、系統(tǒng)環(huán)境控制審計(一)物理環(huán)境的檢查信息系統(tǒng)審計28二、員工明確其崗位職責(zé)三、對關(guān)鍵崗位進行監(jiān)控9信息系統(tǒng)審計29(二)邏輯環(huán)境的檢查(三)硬件基礎(chǔ)設(shè)施的檢查(四)軟件設(shè)施的檢查二、系統(tǒng)訪問控制審計(一)邏輯訪問控制審計(1)驗證邏輯訪問路徑。(2)檢查邏輯訪問控制軟件。(3)檢查身份識別與驗證。(4)檢查邏輯訪問授權(quán)。信息系統(tǒng)審計29(二)邏輯環(huán)境的檢查(三)硬件基礎(chǔ)設(shè)施的檢查10信息系統(tǒng)審計30(5)檢查遠程訪問控制。(6)利用審計日志檢測系統(tǒng)訪問。(二)物理訪問控制審計三、系統(tǒng)網(wǎng)絡(luò)架構(gòu)控制審計(一)局域網(wǎng)風(fēng)險與控制審計(二)客戶機/服務(wù)器架構(gòu)安全審計(三)互聯(lián)網(wǎng)安全控制審計(四)網(wǎng)絡(luò)安全技術(shù)應(yīng)用的審計信息系統(tǒng)審計30(5)檢查遠程訪問控制。(6)利用審計日志檢11信息系統(tǒng)審計31(五)網(wǎng)絡(luò)基礎(chǔ)架構(gòu)審計(1)審核網(wǎng)絡(luò)拓撲圖,確定網(wǎng)絡(luò)結(jié)構(gòu)及設(shè)施。(2)審核對局域網(wǎng)的控制,保證體系結(jié)構(gòu)的設(shè)計和選擇遵循了適當(dāng)?shù)臉藴?以及獲取和運行成本不

超過其效益,包括物理控制審核、環(huán)境控制審核、邏輯控制審核。(3)遠程訪問審核。(4)網(wǎng)絡(luò)穿透測試。(5)網(wǎng)絡(luò)變更控制審核。四、數(shù)據(jù)與數(shù)據(jù)庫安全控制審計(1)審核信息系統(tǒng)在數(shù)據(jù)處理、傳輸過程中的數(shù)據(jù)加密、數(shù)字簽名、數(shù)字信封、數(shù)字證書認證等

安全策略控制是否完整有效,評價系統(tǒng)數(shù)據(jù)的機密性、完整性和可靠性。信息系統(tǒng)審計31(五)網(wǎng)絡(luò)基礎(chǔ)架構(gòu)審計(1)審核網(wǎng)絡(luò)拓撲圖,12信息系統(tǒng)審計32(2)審核數(shù)據(jù)庫的存取管理、安全管理和數(shù)據(jù)庫加密技術(shù),評價數(shù)據(jù)庫的安全性。(3)審核數(shù)據(jù)庫用戶的角色、權(quán)限管理、身份驗證和訪問控制等安全控制,評價數(shù)據(jù)庫的安全性。(4)審核數(shù)據(jù)庫的備份和恢復(fù)策略,檢查備份數(shù)據(jù)存放、安全、維護管理,確保數(shù)據(jù)庫的可用性。五、災(zāi)難恢復(fù)與業(yè)務(wù)持續(xù)性審計(1)評價被審計單位的業(yè)務(wù)持續(xù)性策略及其與業(yè)務(wù)目標的符合性、充分性和有效性。(2)審核信息系統(tǒng)和終端用戶以前所作測試的結(jié)果,驗證業(yè)務(wù)持續(xù)性計劃的有效性。(3)審核異地應(yīng)急措施及其內(nèi)容、安全和環(huán)境控制,評估異地存儲站點的適當(dāng)性。(4)審核應(yīng)急措施、員工培訓(xùn)、測試結(jié)果,評估信息系統(tǒng)和終端用戶在緊急情況下的有效反應(yīng)能力

。信息系統(tǒng)審計32(2)審核數(shù)據(jù)庫的存取管理、安全管理和數(shù)據(jù)庫13信息系統(tǒng)審計33(5)審核被審計單位對業(yè)務(wù)持續(xù)性計劃的維護措施。第七章信息系統(tǒng)應(yīng)用控制審計

第一節(jié)數(shù)據(jù)輸入控制一、數(shù)據(jù)規(guī)劃和設(shè)計二、輸入授權(quán)信息系統(tǒng)審計33(5)審核被審計單位對業(yè)務(wù)持續(xù)性計劃的維護措14信息系統(tǒng)審計34(1)在一批表格或源文件上簽字,提供恰當(dāng)?shù)氖跈?quán)證據(jù)。(2)在線訪問控制,保證只有經(jīng)授權(quán)的人可以訪問數(shù)據(jù)或執(zhí)行敏感的操作。(3)唯一性口令,系統(tǒng)為每個用戶分發(fā)相互區(qū)別的唯一口令,用戶輸入自己的口令來對系統(tǒng)實施授

權(quán)的操作并對數(shù)據(jù)變動承擔(dān)責(zé)任。(4)終端或客戶工作站的識別,用于限制系統(tǒng)只接受由特定的終端、工作站和個人輸入的信息。三、校驗審查四、批控制和批平衡(一)批控制的類型(1)總金額:確認一個批次中被系統(tǒng)處理的項目總金額等于處理前項目金額之和。信息系統(tǒng)審計34(1)在一批表格或源文件上簽字,提供恰當(dāng)?shù)氖?5信息系統(tǒng)審計35(2)總項目數(shù):確認一個批次中的每一個文件中的項目總數(shù)等于被處理的項目總數(shù)。(3)總文件數(shù):確認一個批次中文件總數(shù)等于被處理的文件總數(shù)。(4)雜數(shù)總和:確認一個批次中的所有文件中的數(shù)值類字段的總和(雖然不同類型字段加起來的值

并沒有實際意義)等于系統(tǒng)計算出來的總和。(二)批平衡的類型(1)批注冊:通過注冊項對批總計進行人工記錄,并與系統(tǒng)報告的總計進行比較。(2)控制賬戶:使用控制賬戶是通過一個初始編輯文件來確定批總計。(3)計算機一致:批總計的計算機一致是通過輸入記錄批總計的批標題細目來執(zhí)行的。(4)系統(tǒng)將其與計算出來的總計進行比較,再決定接受或拒絕本批次。信息系統(tǒng)審計35(2)總項目數(shù):確認一個批次中的每一個文件中16信息系統(tǒng)審計36五、錯誤報告和錯誤處理方法(1)僅拒絕有錯誤的事務(wù)。(2)拒絕整批事務(wù)。(3)暫停輸入批次。(4)整批接收并對錯誤事務(wù)做標志。六、聯(lián)機系統(tǒng)的輸入完整性七、內(nèi)部審計與監(jiān)測

信息系統(tǒng)審計36五、錯誤報告和錯誤處理方法(1)僅拒絕有錯17信息系統(tǒng)審計37

第二節(jié)數(shù)據(jù)處理控制一、規(guī)范的數(shù)據(jù)處理程序二、數(shù)據(jù)確認和編輯檢查程序(1)順序檢查。(2)極限檢查。(3)范圍檢查。(4)有效性檢查。信息系統(tǒng)審計37

第二節(jié)數(shù)據(jù)處理控制一、規(guī)范的數(shù)據(jù)處18信息系統(tǒng)審計38(5)合理性檢查。(6)查表。(7)存在性檢查。(8)擊鍵校驗。(9)校驗數(shù)位。(10)完整性檢查。(11)重復(fù)檢查。(12)邏輯關(guān)系檢查。三、處理控制信息系統(tǒng)審計38(5)合理性檢查。(6)查表。(7)存在性檢19信息系統(tǒng)審計39(1)人工重新計算:可以對某一個事務(wù)進行采樣,由人工進行重新計算,并將其與計算機的處理結(jié)果

相比較以確保計算機處理完成了預(yù)期的任務(wù)。(2)編輯檢查:編輯檢查可以是一個程序指令或一個子程序,它用來測試數(shù)據(jù)的準確性、完整性和

有效性。(3)程序化控制:可以通過軟件來檢查和糾正數(shù)據(jù)錯誤和處理錯誤。(4)計算量的合理性檢查:應(yīng)用程序能確認計算量的合理性,任何被確認為不合理的事務(wù)將被拒絕

并掛起以備進一步檢查。(5)計算量的極限檢查:如果某計算量沒有被正確的鍵入,可以通過預(yù)定義范圍限制的編輯檢查來

進行控制。(6)文件總數(shù)核對:應(yīng)當(dāng)經(jīng)常性地運行此控制,核對是通過使用一個人工維護賬戶、一個文件記錄

或一個獨立的控制文件來執(zhí)行。信息系統(tǒng)審計39(1)人工重新計算:可以對某一個事務(wù)進行采樣20信息系統(tǒng)審計40(7)例外報告:由識別不正確的事務(wù)或數(shù)據(jù)的程序產(chǎn)生的文檔,通常報告的例外內(nèi)容是預(yù)定義范圍

之外,或是與特定的標準不一致的那些項目。四、文件控制(1)處理前和處理后的數(shù)據(jù)映象報告:應(yīng)當(dāng)對事務(wù)處理前或處理后存入文件中的計算機數(shù)據(jù)進行記

錄并出具報告,有了事務(wù)處理前后的兩種數(shù)據(jù)映像,使得在計算機記錄中追蹤有影響的事務(wù)成為可

能。(2)錯誤報告的維護和操作:應(yīng)當(dāng)有控制程序來保證所有的錯誤報告被正確地核對與糾正,并適時

地提交。(3)源文件保存期:源文件應(yīng)當(dāng)保存一個足夠的時間期間,以確保對數(shù)據(jù)檢索、重組和驗證的需要

。(4)標簽:必須為可移動存儲介質(zhì)設(shè)定內(nèi)外部標簽,以保證適當(dāng)?shù)臄?shù)據(jù)被調(diào)用和處理。信息系統(tǒng)審計40(7)例外報告:由識別不正確的事務(wù)或數(shù)據(jù)的程21信息系統(tǒng)審計41(5)版本:使用正確和適當(dāng)?shù)奈募姹緦τ谡_的處理是非常關(guān)鍵的。(6)一對一檢查:確保每一個文件都與經(jīng)計算機處理的詳細文件清單相符合,這對于保證所有的文

件都已經(jīng)被接受處理是非常必要的。(7)預(yù)錄輸入:特定的信息字段已被預(yù)印在空白的輸入表單上以減少輸入錯誤。(8)文件更新和維護授權(quán):適當(dāng)?shù)奈募潞途S護授權(quán)可以保證存儲數(shù)據(jù)受到了充分的安全保護,

保證數(shù)據(jù)是正確的和及時更新的。(9)校驗檢查:計算機中的數(shù)據(jù)傳輸應(yīng)當(dāng)在一種無錯誤的環(huán)境中進行,但當(dāng)程序或重要的數(shù)據(jù)在傳

輸時,有必要增加額外的控制以防出現(xiàn)錯誤。五、內(nèi)部審計與監(jiān)測

信息系統(tǒng)審計41(5)版本:使用正確和適當(dāng)?shù)奈募姹緦τ谡_22信息系統(tǒng)審計42

第三節(jié)數(shù)據(jù)輸出控制一、數(shù)據(jù)輸出報告制度二、輸出報告的生成與分發(fā)三、在安全的地方登記和存儲重要表單四、計算機生成可流通的通知、表單和簽名

信息系統(tǒng)審計42

第三節(jié)數(shù)據(jù)輸出控制一、數(shù)據(jù)輸出報告23信息系統(tǒng)審計43

第四節(jié)數(shù)據(jù)接口控制一、接口規(guī)劃與設(shè)計二、接口處理程序(一)完善數(shù)據(jù)轉(zhuǎn)換機制(二)完善數(shù)據(jù)傳輸機制(三)完善錯誤處理機制信息系統(tǒng)審計43

第四節(jié)數(shù)據(jù)接口控制一、接口規(guī)劃與設(shè)24信息系統(tǒng)審計44(四)完善接口權(quán)限控制策略(五)完善接口數(shù)據(jù)處理措施(六)完善接口變更流程

第五節(jié)應(yīng)用控制審計一、事務(wù)流程分析信息系統(tǒng)審計44(四)完善接口權(quán)限控制策略(五)完善接口數(shù)據(jù)25信息系統(tǒng)審計45二、風(fēng)險評價模型分析應(yīng)用控制三、觀察和測試用戶操作程序四、數(shù)據(jù)完整性測試五、聯(lián)機事務(wù)處理系統(tǒng)中的數(shù)據(jù)完整性(1)原子性:從一個用戶的觀點來看,一個事務(wù)在整體上要么是完整的(即所有相關(guān)的數(shù)據(jù)庫表都是

最新的),要么什么也不執(zhí)行。(2)一致性:把數(shù)據(jù)庫從一個一致性狀態(tài)轉(zhuǎn)換到另一個一致性狀態(tài)時,要遵守數(shù)據(jù)的所有完整性約

束。(3)隔離性:每一個事務(wù)與其他事務(wù)相互隔離,因此,每一個事務(wù)只訪問處于一致性狀態(tài)的數(shù)據(jù)庫數(shù)信息系統(tǒng)審計45二、風(fēng)險評價模型分析應(yīng)用控制三、觀察和測試用26信息系統(tǒng)審計46據(jù)。(4)持久性:如果給用戶的事務(wù)報告是完整的,則對數(shù)據(jù)的任何變化都能恢復(fù),即使是隨后的軟件或

硬件出現(xiàn)了故障。六、測試應(yīng)用系統(tǒng)七、持續(xù)在線審計(1)系統(tǒng)控制審計文件和內(nèi)嵌審計模型:該技術(shù)通過在組織的主機應(yīng)用系統(tǒng)中內(nèi)嵌經(jīng)特別編寫的審

計軟件,使審計人員以可以選擇的方式來監(jiān)控應(yīng)用系統(tǒng)的使用。(2)快照:這種方式記錄一個事務(wù)從輸入到輸出各階段的處理軌跡。(3)審計鉤:該技術(shù)在應(yīng)用系統(tǒng)中內(nèi)嵌程序“鉤”,像標識符那樣起作用,在錯誤或不規(guī)范事務(wù)失去

控制之前,提醒信息系統(tǒng)審計人員采取行動。信息系統(tǒng)審計46據(jù)。(4)持久性:如果給用戶的事務(wù)報告是完整27信息系統(tǒng)審計47(4)整體測試:該技術(shù)在審計對象應(yīng)用系統(tǒng)的文件中設(shè)置虛構(gòu)的事務(wù),信息系統(tǒng)審計人員可以使這

些為特定測試目的而虛構(gòu)的事務(wù)與真實事務(wù)一起進入應(yīng)用系統(tǒng)中運行。(5)持續(xù)和間歇性模擬:在一個事務(wù)的處理運行期間,計算機系統(tǒng)模擬應(yīng)用程序指令的執(zhí)行。八、應(yīng)用控制審計的一般程序信息系統(tǒng)審計47(4)整體測試:該技術(shù)在審計對象應(yīng)用系統(tǒng)的文28信息系統(tǒng)審計48圖7—1一般審計程序信息系統(tǒng)審計48圖7—1一般審計程序29信息系統(tǒng)審計49九、輸入控制審計(1)對憑證順序進行校驗。(2)審查是否設(shè)置會計科目代碼與名稱對照文件,并對其正確性進行審計。(3)審查是否設(shè)置了對應(yīng)關(guān)系參照文件。(4)審查信息系統(tǒng)中是否存在數(shù)據(jù)合理性校驗。(5)審查信息系統(tǒng)是否設(shè)定了平衡校驗。(6)審查信息系統(tǒng)日志,察看信息系統(tǒng)用戶是否制定并遵守輸入管理的規(guī)則,數(shù)據(jù)輸入是否按照輸

入管理規(guī)則進行。十、處理控制審計信息系統(tǒng)審計49九、輸入控制審計(1)對憑證順序進行校驗。(30信息系統(tǒng)審計50(1)查閱企業(yè)業(yè)務(wù)及系統(tǒng)文檔選取企業(yè)主要的業(yè)務(wù)處理過程和處理控制。(2)測試這些處理過程是否符合業(yè)務(wù)邏輯以及控制是否起到了應(yīng)有的作用:在系統(tǒng)中進行一些違反

業(yè)務(wù)邏輯的操作,如果操作結(jié)果與預(yù)期不一致可以檢查程序代碼。(3)檢查系統(tǒng)運行錯誤日志和交易日志。(4)得出處理控制是否適當(dāng)?shù)慕Y(jié)論。十一、輸出控制審計(1)識別主要的輸出項目。(2)確定輸出審核程序的恰當(dāng)性:①審查輸出信息分發(fā)前對輸出信息進行審核確認的程序;②審查

輸出分發(fā)程序的恰當(dāng)性;③評價用戶部門驗證輸出信息完整準確的程序;④確定輸出信息對用戶

是否實用;⑤確定是否有恰當(dāng)?shù)娜藛T執(zhí)行輸出審核。信息系統(tǒng)審計50(1)查閱企業(yè)業(yè)務(wù)及系統(tǒng)文檔選取企業(yè)主要的業(yè)31信息系統(tǒng)審計51(3)審核輸出總數(shù)核對程序。(4)確定敏感數(shù)據(jù)項目是否被恰當(dāng)控制。(5)審核輸出資料保留存放的過程。(6)得出輸出控制是否恰當(dāng)?shù)慕Y(jié)論。十二、接口審計第八章信息系統(tǒng)開發(fā)審計

信息系統(tǒng)審計51(3)審核輸出總數(shù)核對程序。(4)確定敏感數(shù)32信息系統(tǒng)審計52第一節(jié)信息系統(tǒng)審計師在信息系統(tǒng)開發(fā)中的職責(zé)(1)獲取過程──確定信息系統(tǒng)需求,獲取系統(tǒng)、軟件產(chǎn)品或軟件服務(wù)的活動。(2)供應(yīng)過程──確定信息系統(tǒng)提供者,向信息系統(tǒng)需求者提供系統(tǒng)、軟件產(chǎn)品或軟件服務(wù)的活動

。(3)開發(fā)過程──確定信息系統(tǒng)開發(fā)者,定義并開發(fā)軟件產(chǎn)品的活動。(4)運作過程──確定信息系統(tǒng)操作者,在規(guī)定的環(huán)境中為用戶提供運行計算機系統(tǒng)服務(wù)的活動。(5)維護過程──確定信息系統(tǒng)維護者,提供維護軟件產(chǎn)品服務(wù)的活動。

信息系統(tǒng)審計52第一節(jié)信息系統(tǒng)審計師在信息系統(tǒng)開發(fā)中33信息系統(tǒng)審計53第二節(jié)傳統(tǒng)的信息系統(tǒng)開發(fā)方法(1)當(dāng)系統(tǒng)開發(fā)生命周期的每一個階段都可以由正式的程序和指南來確定時,審計師可以較深入地

了解開發(fā)過程中的風(fēng)險,信息系統(tǒng)審計師對開發(fā)的控制作用顯著增加了。(2)信息系統(tǒng)審計師可以評價系統(tǒng)開發(fā)項目的所有相關(guān)階段和領(lǐng)域,并獨立地向管理層報告預(yù)定目

標的完成情況和相關(guān)程序的遵守情況。(3)生命周期方法有助于信息系統(tǒng)審計師識別所選擇評價的各個系統(tǒng)部分應(yīng)當(dāng)具有的屬性,并基于

他們的技能和能力,進一步深入技術(shù)層面去發(fā)現(xiàn)存在的問題。(4)信息系統(tǒng)審計師可以對生命周期開發(fā)階段所使用的方法和技術(shù)進行評價。信息系統(tǒng)審計53第二節(jié)傳統(tǒng)的信息系統(tǒng)開發(fā)方法(1)當(dāng)34信息系統(tǒng)審計54圖8—1相關(guān)階段信息系統(tǒng)審計54圖8—1相關(guān)階段35信息系統(tǒng)審計55表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期SDLC各個階段總體描述第一階段:可行性研究確定實施系統(tǒng)在提高生產(chǎn)率或未來

降低成本方面的戰(zhàn)略利益,確定和量

化新系統(tǒng)可以節(jié)約的成本,評價發(fā)生

在一個新系統(tǒng)上的成本回收期。這

個階段的工作將為開發(fā)工作是否繼

續(xù)進行到下一個階段提供一個恰當(dāng)

的理由信息系統(tǒng)審計55表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期SDLC各個階36信息系統(tǒng)審計56表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第二階段:需求定義一是定義需要解決的問題;二是定義

所需的解決方案及方案應(yīng)當(dāng)具有的

功能和質(zhì)量要求。這個階段要決定

是采用定制開發(fā)的方法,還是采用供

應(yīng)商提供的軟件包,如果要購買商品

化的軟件包,就需要遵循一個預(yù)定義

的、文件化的獲取過程。不論哪種

情況,用戶都必須積極地參與其中信息系統(tǒng)審計56表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第二階段:需求37信息系統(tǒng)審計57表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第三階段(A):設(shè)計(當(dāng)決定自行開發(fā)軟件時)以需求定義為基礎(chǔ),建立一個系統(tǒng)基

線和子系統(tǒng)的規(guī)格說明,以描述系統(tǒng)

功能如何實現(xiàn),各個部分之間接口如

何定義,系統(tǒng)如何使用已選擇的硬件

、軟件和網(wǎng)絡(luò)設(shè)施等。一般而言,設(shè)

計也包括程序和數(shù)據(jù)庫規(guī)格說明,以

及一個系統(tǒng)安全計劃。另外,建立一

個正式的變動控制程序來預(yù)防將不

受控的新需求輸入到開發(fā)過程中的

可能性信息系統(tǒng)審計57表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第三階段(A)38信息系統(tǒng)審計58表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第三階段(B):選擇(當(dāng)決定購買現(xiàn)成軟件包時)以需求定義為基礎(chǔ),向軟件供應(yīng)商發(fā)

出請求建議書(RFP)。商品軟件的

選擇除了要考慮軟件功能性的需求

、操作性的支持和技術(shù)需求外,還要

考慮軟件供應(yīng)商的財務(wù)生存能力,并

與供應(yīng)商簽訂軟件源代碼第三方保

全協(xié)議(Escmw)。在綜合以上各種

因素的基礎(chǔ)上,選擇最能滿足組織需

要的軟件供應(yīng)商信息系統(tǒng)審計58表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第三階段(B)39信息系統(tǒng)審計59表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第四階段(A):開發(fā)(當(dāng)決定自行開發(fā)軟件時)使用設(shè)計規(guī)格說明書來設(shè)計編程和

規(guī)范化系統(tǒng)的支持操作過程。在這

個階段,要進行各個層次的測試,以

驗證和確認已經(jīng)開發(fā)的內(nèi)容,包括所

有的單元測試、系統(tǒng)測試,也包括用

戶接受測試涉及的迭代工作信息系統(tǒng)審計59表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第四階段(A)40信息系統(tǒng)審計60表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第四階段(B):配置(當(dāng)決定購買現(xiàn)成軟件包時)如果決定選用商品化的軟件包,需要

按照組織的要求對其進行剪裁。這

種剪裁最好是通過配置系統(tǒng)參數(shù),而

不是通過修改程序源代碼來實現(xiàn)。

現(xiàn)在的軟件供應(yīng)商提供的軟件一般

都較靈活,通過對軟件包中參數(shù)表進

行配置或控制某些功能的開關(guān),就可

以使軟件滿足組織的特定需要。但

可能還要建立接口程序以滿足與已

有系統(tǒng)進行連接的需要信息系統(tǒng)審計60表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第四階段(B)41信息系統(tǒng)審計61表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第五階段:實施把新系統(tǒng)投入到實際運行中去。這

個階段是在最終用戶驗收測試完成

、簽署正式文件后進行。系統(tǒng)還需

要通過一些認證和鑒定過程,來評價

應(yīng)用系統(tǒng)的有效性。這些鑒定過程

的主要目標有:評價業(yè)務(wù)應(yīng)用系統(tǒng)是

否將風(fēng)險降低到一個適當(dāng)?shù)乃?在

符合預(yù)定目標和建立一個適當(dāng)?shù)膬?nèi)

部控制水平方面,是否提供了管理層

為確保系統(tǒng)有效性而應(yīng)負的責(zé)任信息系統(tǒng)審計61表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第五階段:實施42信息系統(tǒng)審計62表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第六階段:維護隨著一個新系統(tǒng)或徹底修改的系統(tǒng)

的成功實施,應(yīng)當(dāng)建立正式的程序來

評估系統(tǒng)的充分性和評價成本效益

或投資回報。這樣做可以使信息系

統(tǒng)項目組和最終用戶部門吸取經(jīng)驗

教訓(xùn),并就目前系統(tǒng)中存在的不足,

為后續(xù)的系統(tǒng)開發(fā)項目管理提供改

進建議信息系統(tǒng)審計62表8—1傳統(tǒng)的系統(tǒng)開發(fā)生命周期第六階段:維護43信息系統(tǒng)審計63(1)無法預(yù)料的事件。(2)按照這個方法的要求,對用戶需求的準確定義是非常重要的,但在開發(fā)初期要從用戶處獲得一

個完整的、清晰的需求是很困難的。(3)需要用戶有足夠的耐性。(4)在軟件正式開發(fā)完成前,組織業(yè)務(wù)環(huán)境的改變會引起用戶需求的變化。

第三節(jié)其他信息系統(tǒng)開發(fā)方法一、原型法信息系統(tǒng)審計63(1)無法預(yù)料的事件。(2)按照這個方法的要44信息系統(tǒng)審計64圖8—2原型法的開發(fā)過程(1)遵循人們認識事物的規(guī)律,采用循序漸進的過程去開發(fā)和認識系統(tǒng)。信息系統(tǒng)審計64圖8—2原型法的開發(fā)過程(1)遵循人們認識45信息系統(tǒng)審計65(2)將模擬手段引入系統(tǒng)分析,便于用戶和系統(tǒng)分析人員之間的溝通。(3)充分利用最新工具軟件,減少系統(tǒng)開發(fā)時間和費用,提高效率。(1)完成的系統(tǒng)在控制機制方面一般較弱。(2)變更控制也變得更加復(fù)雜。(3)對于大量運算、邏輯性強的程序模塊,原型法很難構(gòu)造出適宜模型,以供用戶評價。(4)對于大型系統(tǒng)如果沒有系統(tǒng)地進行整體性劃分,很難進行模擬。二、面向?qū)ο箝_發(fā)方法(Object-OrientedSoftwareDevelop-

ment,OOSD)信息系統(tǒng)審計65(2)將模擬手段引入系統(tǒng)分析,便于用戶和系統(tǒng)46信息系統(tǒng)審計66圖8—3面向?qū)ο蟮南到y(tǒng)開發(fā)過程(1)對系統(tǒng)進行調(diào)查,并進行需求分析。信息系統(tǒng)審計66圖8—3面向?qū)ο蟮南到y(tǒng)開發(fā)過程(1)對系統(tǒng)47信息系統(tǒng)審計67(2)抽象地識別出對象及其行為、結(jié)構(gòu)、屬性、方法等,建立類之間的層次與鏈接關(guān)系,根據(jù)需求

與功能建立系統(tǒng)的分析模型。(3)對面向?qū)ο蠓治鲭A段確定的分析模型進行進一步抽象、歸類、整理,最終以范式的形式將它們

確定下來。(4)用面向?qū)ο蟮某绦蛟O(shè)計語言將設(shè)計階段整理的范式直接映射成應(yīng)用程序軟件。(1)采用特定的軟件工具,直接完成從對象客體的描述到軟件結(jié)構(gòu)之間的轉(zhuǎn)換。(2)解決了傳統(tǒng)方法中客觀世界描述工具和軟件結(jié)構(gòu)不一致的問題,縮短開發(fā)周期,解決了從分析

到設(shè)計到軟件模塊結(jié)構(gòu)之間多次轉(zhuǎn)換映射的繁雜過程。(3)面向?qū)ο蟮姆椒ㄖ械睦^承機制,支持了模型與代碼在一個系統(tǒng)中的重用,大大降低了軟件系統(tǒng)

的復(fù)雜性,提高了開發(fā)效率。(4)面向?qū)ο蟮姆庋b性簡化了開發(fā)過程。(5)在一般情況下的開發(fā),由于類的封裝性、多態(tài)性的支持,無須對系統(tǒng)進行修改,這樣減少了開發(fā)信息系統(tǒng)審計67(2)抽象地識別出對象及其行為、結(jié)構(gòu)、屬性、48信息系統(tǒng)審計68的工作量和錯誤的產(chǎn)生,增強系統(tǒng)對環(huán)境變化的適應(yīng)性。三、基于組件的開發(fā)方法(Component-BasedDevelopment)(1)過程內(nèi)客戶端組件:組件必須在一個容器內(nèi)部運行,而不能獨自運行,如網(wǎng)絡(luò)瀏覽器。(2)獨立客戶端組件:將應(yīng)用導(dǎo)出給其他軟件的應(yīng)用可以當(dāng)做組件,如微軟的Office組件。(3)獨立服務(wù)器端組件:運行在服務(wù)器上,能夠以標準方式提供服務(wù)的過程可以當(dāng)做組件。(4)過程內(nèi)服務(wù)器組件:這些組件運行在服務(wù)器容器內(nèi)部。(1)減少開發(fā)時間。(2)改善質(zhì)量。(3)能夠從商家買到可證實的、經(jīng)過測試的軟件。信息系統(tǒng)審計68的工作量和錯誤的產(chǎn)生,增強系統(tǒng)對環(huán)境變化的適49信息系統(tǒng)審計69(4)允許開發(fā)商更加關(guān)注業(yè)務(wù)功能。(5)加強模塊性。(6)重用性。(7)減少開發(fā)成本。(8)支持多用戶開發(fā)環(huán)境。(9)允許在構(gòu)造和購買的選擇之間進行協(xié)調(diào)。(10)便于系統(tǒng)重構(gòu),即重用設(shè)計和程序組件,更新現(xiàn)有系統(tǒng),用于支持組織操作方式的主要變更。四、基于Web應(yīng)用開發(fā)方法(Web-BasedApplicationDevel-

opment)信息系統(tǒng)審計69(4)允許開發(fā)商更加關(guān)注業(yè)務(wù)功能。(5)加強50信息系統(tǒng)審計70圖8—4Web服務(wù)的基本架構(gòu)(1)應(yīng)用的分布式。(2)應(yīng)用到應(yīng)用的交互。(3)平臺無關(guān)性。信息系統(tǒng)審計70圖8—4Web服務(wù)的基本架構(gòu)(1)應(yīng)用的分51信息系統(tǒng)審計71五、快速應(yīng)用開發(fā)方法(RAD)(1)概念定義階段,定義業(yè)務(wù)功能和系統(tǒng)所要支持的數(shù)據(jù)主題域,決定系統(tǒng)范圍。(2)功能設(shè)計階段所采用的工作組,將系統(tǒng)數(shù)據(jù)和過程模型化,建立關(guān)鍵系統(tǒng)組件的原型。(3)開發(fā)階段完成物理數(shù)據(jù)庫和應(yīng)用系統(tǒng)的構(gòu)建,建立轉(zhuǎn)換系統(tǒng),開發(fā)用戶幫助,部署工作計劃。(4)安裝階段包括所有最終用戶測試和培訓(xùn)、數(shù)據(jù)轉(zhuǎn)換、應(yīng)用系統(tǒng)實施。六、敏捷開發(fā)(AgileDevelopment)(1)較低的管理成本和高質(zhì)量的產(chǎn)出。(2)尊重人性。(3)溝通和反饋。信息系統(tǒng)審計71五、快速應(yīng)用開發(fā)方法(RAD)(1)概念定義52信息系統(tǒng)審計72(4)客戶是上帝。(5)保持活力。

第四節(jié)信息系統(tǒng)開發(fā)團隊、角色和責(zé)任(1)高級管理層(SeniorManagement)——承諾對項目負責(zé)并批準完成該項目所必需的資源,來自于

高層的承諾有助于推動項目的完成。(2)用戶管理層(UserManagement)——擁有項目和最終系統(tǒng)的所有權(quán),派遣合格的用戶代表到項目

團隊中,積極地參與系統(tǒng)的需求定義、驗收測試和用戶培訓(xùn)。信息系統(tǒng)審計72(4)客戶是上帝。(5)保持活力。

第四節(jié)53信息系統(tǒng)審計73(3)項目指導(dǎo)委員會(ProjectSteeringCommittee)——項目指導(dǎo)委員會對項目工作提供總體指導(dǎo),并

確保對項目有影響的各方都能參與到項目決策中來。(4)項目發(fā)起人(ProjectSponsor)——為項目提供基金,并與項目經(jīng)理配合工作以定義項目成功的衡

量標準。(5)系統(tǒng)開發(fā)管理部門——為有效地開發(fā)、安裝和運行所要求的應(yīng)用系統(tǒng),要對軟件和硬件環(huán)境提

供必要的技術(shù)支持。(6)項目經(jīng)理——對項目進行日常管理工作,確保項目中的每一項活動與整體的方向保持一致。(7)系統(tǒng)開發(fā)項目小組——目標是完成分配的開發(fā)任務(wù)。(8)用戶項目小組——目標是完成分配的工作任務(wù)(主要是配合需求調(diào)查和進行驗收測試)。(9)安全官員——基于公司安全政策和程序的數(shù)據(jù)分類,確保系統(tǒng)控制和支持過程可以提供有效的

保護水平;在系統(tǒng)開發(fā)的整個生命周期中,對如何在系統(tǒng)中引入適當(dāng)?shù)目刂拼胧┨峁┳稍円庖?評信息系統(tǒng)審計73(3)項目指導(dǎo)委員會(ProjectSte54信息系統(tǒng)審計74價安全測試計劃并在實施之前進行報告;為了鑒定合格,評估與系統(tǒng)安全相關(guān)的文件。(10)質(zhì)量保證(QualityAssurance)——在每一個開發(fā)階段期間和階段結(jié)束時,評價階段結(jié)果,并確認

與需求的符合性。

第五節(jié)與軟件開發(fā)相關(guān)的風(fēng)險(1)在項目內(nèi)部——沒有識別處理業(yè)務(wù)問題的正確需求或時機;沒有在規(guī)定的時間內(nèi)和在成本約束

的條件下管理好要交付的項目。(2)和供應(yīng)商之間——沒有與供應(yīng)商就需求和期望進行明確地溝通,導(dǎo)致供應(yīng)商沒有或不能按時以信息系統(tǒng)審計74價安全測試計劃并在實施之前進行報告;為了鑒定55信息系統(tǒng)審計75預(yù)期的成本交付合格的產(chǎn)品。(3)在組織內(nèi)部——組織中的利益相關(guān)者(如股東、員工等)不能提供項目所需要的輸入和承諾的

資源,而且改變了原定的組織優(yōu)先級和政策。(4)和外部環(huán)境之間——客戶、競爭者、立法部門、政府部門等外部實體的相關(guān)活動對項目的影

響;經(jīng)濟條件的變化對項目造成的影響。(1)項目符合公司的業(yè)務(wù)目標。(2)包括了有效的資源和時間估計的項目計劃。(3)如果不存在軟件基線管理,那么就需要控制開發(fā)范圍的膨脹,防止用戶需求的不斷變化使得開

發(fā)過程失去控制。(4)管理層對軟件設(shè)計和開發(fā)活動的追蹤與監(jiān)控。(5)高級管理層對軟件項目的設(shè)計和開發(fā)的支持。信息系統(tǒng)審計75預(yù)期的成本交付合格的產(chǎn)品。(3)在組織內(nèi)部—56信息系統(tǒng)審計76(6)在每一個項目階段進行階段性的審核和風(fēng)險分析。

第六節(jié)IT項目管理一、IT項目(一)IT項目(1)硬件系統(tǒng)環(huán)境設(shè)計,這包括網(wǎng)絡(luò)環(huán)境的設(shè)計方案、施工方案、設(shè)備選型、采購計劃和兼容性等

方面的內(nèi)容。信息系統(tǒng)審計76(6)在每一個項目階段進行階段性的審核和風(fēng)險57信息系統(tǒng)審計77(2)設(shè)計軟件系統(tǒng)方案,選擇或開發(fā)應(yīng)用軟件系統(tǒng)。(3)規(guī)劃和整理數(shù)據(jù)資源并應(yīng)用于軟件系統(tǒng)中。(4)建立信息系統(tǒng)的運行規(guī)則,并組織知識體系。(5)為建設(shè)一個讓使用者滿意的信息系統(tǒng),項目的實施者與項目使用者之間進行不斷溝通,從項目

開始到項目結(jié)束。(二)IT項目中的常見問題(三)IT項目成功的標志二、IT項目管理(一)IT項目進度管理信息系統(tǒng)審計77(2)設(shè)計軟件系統(tǒng)方案,選擇或開發(fā)應(yīng)用軟件系58信息系統(tǒng)審計78(二)IT項目成本管理(1)項目成本的構(gòu)成:項目定義與決策成本;項目設(shè)計成本;項目采購成本;項目實施成本。(2)具體的項目成本科目:人工成本(各種勞力的成本);物料成本(消耗和占用的物料資源費用);顧問

費用(各種咨詢和專家服務(wù)費用);設(shè)備費用(折舊、租賃費用等);其他費用(如保險、分包商的法定

利潤等);不可預(yù)見費(為預(yù)防項目變更的管理儲備)。(3)影響項目成本的因素:耗用資源的數(shù)量和價格;項目工期;項目質(zhì)量;項目范圍。(4)項目成本管理的控制目標:基于WBS、范圍說明書、歷史信息、資源信息和相關(guān)政策以及有

經(jīng)驗人員的資源計劃;成本估算方法及其工具與技術(shù);基于WBS和進度計劃的成本預(yù)算;項目成本

估算與預(yù)算的滾動;費用跟蹤與偏差計算方法;糾偏與變更程序;項目成本績效度量方法;溝通與評

估。(三)IT項目質(zhì)量管理信息系統(tǒng)審計78(二)IT項目成本管理(1)項目成本的構(gòu)成59信息系統(tǒng)審計79(四)IT項目風(fēng)險管理(五)IT項目綜合管理(六)IT項目文檔管理

第七節(jié)IT項目管理及審計一、IT項目管理的組織與機制(一)組織與團隊管理信息系統(tǒng)審計79(四)IT項目風(fēng)險管理(五)IT項目綜合60信息系統(tǒng)審計80圖8—5團隊管理的過程(二)IT項目團隊管理的特點信息系統(tǒng)審計80圖8—5團隊管理的過程(二)IT項目團隊管61信息系統(tǒng)審計81(三)組織設(shè)計的控制目標二、IT項目范圍管理信息系統(tǒng)審計81(三)組織設(shè)計的控制目標二、IT項目范圍管理62信息系統(tǒng)審計82圖8—6項目范圍管理信息系統(tǒng)審計82圖8—6項目范圍管理63信息系統(tǒng)審計83三、IT項目管理審計(一)IT項目管理審計目標(1)檢查項目實施方法、程序是否科學(xué)合理。(2)檢查項目實施過程是否受到恰當(dāng)?shù)目刂啤?3)檢查實施過程中的文檔是否符合規(guī)范。(二)審計范圍

信息系統(tǒng)審計83三、IT項目管理審計(一)IT項目管理審計目64信息系統(tǒng)審計84第八節(jié)軟件開發(fā)過程的完善一、ISO9126(1)功能性,即軟件是否滿足客戶的功能要求。(2)可靠性,即軟件是否能夠一直在一個穩(wěn)定的狀態(tài)上滿足可用性。(3)效率,即衡量軟件正常運行需要耗費多少物理資源。(4)可維護性,即衡量對已經(jīng)完成的軟件進行調(diào)整需要多大的努力。(5)可移植性,即衡量軟件是否能夠方便地布置到不同的運行環(huán)境。二、軟件能力成熟度模型(CMM)信息系統(tǒng)審計84第八節(jié)軟件開發(fā)過程的完善一、ISO65信息系統(tǒng)審計85圖8—7CMM的級別(1)機構(gòu)缺乏明文的管理辦法,軟件工作沒有穩(wěn)定的環(huán)境,制訂了計劃又不執(zhí)行,以反應(yīng)式驅(qū)動工作信息系統(tǒng)審計85圖8—7CMM的級別(1)機構(gòu)缺乏明文的管66信息系統(tǒng)審計86開展。(2)緊急情況下將已訂的規(guī)程丟在一邊,急于編碼和測試。(3)個別項目的成功依賴于某個有經(jīng)驗的管理人員。(4)個別管理人員能頂住削減過程的壓力,一旦他們離職則全然不同。(5)規(guī)定的過程無法克服,缺乏有效的管理。(6)現(xiàn)象往往表現(xiàn)為過程無一定之規(guī),項目進度、預(yù)算、功能及產(chǎn)品質(zhì)量無法保證,項目的實施不

可預(yù)測。(1)建立了跟蹤成本、進度和功能的基本項目管理過程。(2)基于以往項目經(jīng)驗,制定了過程實施規(guī)范,使類似的項目可再次成功。(3)能追蹤成本、進度、功能,及時發(fā)現(xiàn)問題。(1)制定了機構(gòu)的標準過程文件,這是軟件過程基礎(chǔ)設(shè)施的重要組成部分。信息系統(tǒng)審計86開展。(2)緊急情況下將已訂的規(guī)程丟在一邊,67信息系統(tǒng)審計87(2)建立了機構(gòu)的軟件工程過程組SEPG,負責(zé)軟件過程活動。(3)制定和實施了人員培訓(xùn)大綱,保證人員能夠勝任崗位知識和技能要求。(4)針對特定項目,可將標準軟件過程進行剪裁。(5)項目成本、工期和功能已受控,質(zhì)量可跟蹤。(6)管理者了解所有項目對技術(shù)進步的要求。(1)已為產(chǎn)品和過程建立了量化的目標。(2)對項目的過程活動,包括生產(chǎn)率和質(zhì)量均做了度量。(3)利用過程數(shù)據(jù)庫收集和分析過程的信息。(4)可量化評價項目過程和產(chǎn)品。(5)可有效地控制過程和產(chǎn)品的性能,使其限制在規(guī)定的范圍內(nèi)。(6)新應(yīng)用領(lǐng)域的風(fēng)險可知可控。信息系統(tǒng)審計87(2)建立了機構(gòu)的軟件工程過程組SEPG,負68信息系統(tǒng)審計88(7)可預(yù)知產(chǎn)品的質(zhì)量。(1)集中注意于過程的持續(xù)改進。(2)自知過程的薄弱環(huán)節(jié),可預(yù)防缺陷的出現(xiàn)。(3)可通過對當(dāng)前過程的分析,對新技術(shù)或?qū)⒊霈F(xiàn)的變更作出評價。(4)重視探索創(chuàng)新活動,并將成功的創(chuàng)新推廣。(5)出現(xiàn)的缺陷得到分析,找出原因,防止再次發(fā)生。三、軟件能力成熟度模型集成(CMMI)(1)CMMI強調(diào)了對需求的管理,有兩個過程域說明對需求的控制——需求管理REQM、需求開發(fā)

RD,而在CMM中只有一個關(guān)鍵過程域需求管理RM以及軟件產(chǎn)品工程SPE中的一個實踐來說明對

需求的管理和控制。信息系統(tǒng)審計88(7)可預(yù)知產(chǎn)品的質(zhì)量。(1)集中注意于過程69信息系統(tǒng)審計89(2)CMMI加強了對工程過程的重視,提供了更加細致的要求和指導(dǎo),而CMM中卻只有一個SPE關(guān)

鍵過程來進行要求和指導(dǎo);CMMI強調(diào)了度量,并且從項目的早期就已經(jīng)進行了度量,在階段式中

CMMI二級由一個過程域度量和分析,而在CMM中沒有專門的要求和指導(dǎo)。(3)CMMI對比CMM更加強調(diào)了對風(fēng)險的管理,在CMM中風(fēng)險只是“項目策劃”SPP中的一個活

動,而在CMMI中風(fēng)險管理作為一個單獨的過程域。

第九節(jié)信息系統(tǒng)開發(fā)審計一、系統(tǒng)規(guī)劃階段的審計信息系統(tǒng)審計89(2)CMMI加強了對工程過程的重視,提供了70信息系統(tǒng)審計90二、可行性研究階段的審計三、需求分析階段的審計四、軟件獲取階段的審計五、系統(tǒng)設(shè)計和編碼階段的審計(1)審查系統(tǒng)流程圖是否符合總體設(shè)計,確認所有變更均事先與相關(guān)的用戶討論過并獲得其認可,

這些變更均經(jīng)適當(dāng)?shù)呐鷾省?2)審查系統(tǒng)中所設(shè)計的輸入、處理及輸出控制是否適當(dāng)。(3)審查系統(tǒng)關(guān)鍵用戶是否理解系統(tǒng)如何操作,并確定出他們在對屏幕格式及輸出報告上參與設(shè)計

的等級。信息系統(tǒng)審計90二、可行性研究階段的審計三、需求分析階段的審71信息系統(tǒng)審計91(4)評估審計軌跡是否能夠充分跟蹤系統(tǒng)事務(wù)處理。(5)確認關(guān)鍵計算及處理程序的正確性。(6)確認系統(tǒng)能識別錯誤的數(shù)據(jù)并能夠適當(dāng)處理。(7)審查本階段所開發(fā)程序的質(zhì)保結(jié)果。(8)證實所有對程序錯誤所提出的修正建議已被執(zhí)行,所建議的審計軌跡或嵌入式審計模塊已嵌入

適當(dāng)?shù)某绦蛑小?9)核對源代碼與編程規(guī)范的一致性,檢查測試結(jié)果,對程序進行再測試。(10)審查可能的控制漏洞,每個設(shè)計的控制是否進行,如果控制需要確定,審計人員需要提出建議,

確保控制的有效性。六、測試階段的審計信息系統(tǒng)審計91(4)評估審計軌跡是否能夠充分跟蹤系統(tǒng)事務(wù)處72信息系統(tǒng)審計92(1)檢查用戶參與測試的數(shù)據(jù),如測試用例的開發(fā),考慮重新運行關(guān)鍵測試。(2)檢查錯誤報告,判斷報告對錯誤資料的識別和解釋能力。(3)審查周期性作業(yè)處理(如月末、年末的報表處理等)。(4)詢問終端用戶,了解他們是否理解新方法、步驟和操作指令。(5)審查系統(tǒng)和終端用戶文檔,判斷其完整性與正確性。(6)審查并行測試結(jié)果的正確性。(7)進行訪問測試,判斷系統(tǒng)安全措施是否按設(shè)計要求有效執(zhí)行。(8)檢查單元測試和系統(tǒng)測試計劃,判斷計劃是否完整,是否已包含內(nèi)部控制測試。(9)審查記錄的使用過程以及錯誤報告。信息系統(tǒng)審計92(1)檢查用戶參與測試的數(shù)據(jù),如測試用例的開73信息系統(tǒng)審計93七、安裝階段的審計(1)在安裝前,已取得適當(dāng)?shù)囊平晃募?2)審查用來為系統(tǒng)排程的程序及用來執(zhí)行日常作業(yè)排程的參數(shù)。(3)審查所有系統(tǒng)文檔,判斷其完整性及所有最近測試階段所作的更新能否反映在文檔中。(4)在系統(tǒng)投入日常作業(yè)前確認所有數(shù)據(jù)的轉(zhuǎn)換,保證其準確性和完整性。八、系統(tǒng)安裝后的審計(1)確定系統(tǒng)的目標和需求是否已經(jīng)達到。(2)確定可行性研究中的成本收益是否已經(jīng)衡量、分析并報告給管理層。(3)審查已執(zhí)行的程序變更需求,評估系統(tǒng)變更的類型。信息系統(tǒng)審計93七、安裝階段的審計(1)在安裝前,已取得適當(dāng)74信息系統(tǒng)審計94(4)審查系統(tǒng)中各種資源的利用率,包括計算機、外部設(shè)備、軟件、人力、信息資源的利用情況,

哪些得到充分利用,哪些還沒有充分利用。(5)審查系統(tǒng)內(nèi)部控制機制,確定它們在按設(shè)計要求運作。(6)審查操作人員的錯誤日志,決定系統(tǒng)是否存在固有的操作或者資源問題。(7)審查輸入及輸出的余額并進行報告,證實系統(tǒng)準確地處理了數(shù)據(jù)。(8)指出系統(tǒng)改進和擴展的方向。第九章信息系統(tǒng)運營與維護審計

信息系統(tǒng)審計94(4)審查系統(tǒng)中各種資源的利用率,包括計算機75信息系統(tǒng)審計95第一節(jié)計算機硬件維護與管理一、計算機硬件組成與結(jié)構(gòu)(一)處理部件(二)輸入/輸出部件二、計算機硬件維護三、計算機硬件監(jiān)控過程(1)硬件錯誤報告——標識出CPU、輸入輸出、電源和存儲故障。(2)可用性報告——指出系統(tǒng)工作正常的時間段。信息系統(tǒng)審計95第一節(jié)計算機硬件維護與管理一、計算機76信息系統(tǒng)審計96(3)利用率報告——是系統(tǒng)自動形成的文件,記錄了機器和外設(shè)的使用情況。四、計算機硬件的能力管理

第二節(jié)計算機軟件維護與管理一、信息系統(tǒng)結(jié)構(gòu)和軟件二、計算機軟件維護類別信息系統(tǒng)審計96(3)利用率報告——是系統(tǒng)自動形成的文件,記77信息系統(tǒng)審計97(一)糾錯性維護(CorrectiveMaintenance)(二)適應(yīng)性維護(AdaptiveMaintenance)(三)完善性維護(PerfectiveMaintenance)(四)預(yù)防性維護(PreventiveMaintenance)信息系統(tǒng)審計97(一)糾錯性維護(CorrectiveMa78信息系統(tǒng)審計98圖9—1各類維護的比重信息系統(tǒng)審計98圖9—1各類維護的比重79信息系統(tǒng)審計99三、計算機軟件維護的實施信息系統(tǒng)審計99三、計算機軟件維護的實施80信息系統(tǒng)審計100圖9—2軟件維護工作流程信息系統(tǒng)審計100圖9—2軟件維護工作流程81信息系統(tǒng)審計101四、系統(tǒng)軟件版權(quán)與許可(1)審查用于防范非授權(quán)使用和拷貝軟件的策略和程序文件。(2)審查所有標準的、已用的和許可的應(yīng)用及系統(tǒng)軟件列表。(3)建立對軟件安裝的集中控制和自動分發(fā)(包括取消用戶安裝軟件的能力)機制。(4)要求所有的PC均是無盤工作站,并只通過安全局域網(wǎng)來訪問應(yīng)用程序。(5)在局域網(wǎng)中安裝計量(Metering)軟件,并要求所有的PC通過該計量軟件來訪問應(yīng)用程序。(6)定期掃描PC,確保PC中沒有安裝非授權(quán)的軟件拷貝。五、軟件維護申請報告(1)所需修改變動的性質(zhì)。信息系統(tǒng)審計101四、系統(tǒng)軟件版權(quán)與許可(1)審查用于防范非82信息系統(tǒng)審計102(2)申請修改的優(yōu)先級。(3)為滿足某個維護申請報告所需的工作量。(4)預(yù)計修改后的狀況。六、系統(tǒng)軟件設(shè)置(1)處理所用數(shù)據(jù)文件的版本。(2)對敏感數(shù)據(jù)的程序訪問。(3)調(diào)度并運行的程序。(4)操作系統(tǒng)的操作。(5)數(shù)據(jù)庫。信息系統(tǒng)審計102(2)申請修改的優(yōu)先級。(3)為滿足某個維83信息系統(tǒng)審計103(6)訪問控制。七、系統(tǒng)軟件變更控制程序八、維護檔案記錄

第三節(jié)信息系統(tǒng)的運行與維護一、計算機運行信息系統(tǒng)審計103(6)訪問控制。七、系統(tǒng)軟件變更控制程序八84信息系統(tǒng)審計104(一)LIGHTS-OUT運行(無人值守運行)(二)輸入/輸出控制功能(I/O)(三)數(shù)據(jù)錄入人員二、IS運行的管理(一)控制功能(二)作業(yè)記賬(三)作業(yè)調(diào)度(四)對資源的使用進行監(jiān)控信息系統(tǒng)審計104(一)LIGHTS-OUT運行(無人值守運85信息系統(tǒng)審計1051.問題管理2.事件管理3.異常情況的檢測和控制(五)程序變更控制(六)質(zhì)量保證(七)IT服務(wù)管理

信息系統(tǒng)審計1051.問題管理2.事件管理3.異常情況的檢測86信息系統(tǒng)審計106第四節(jié)信息系統(tǒng)變更管理一、變更管理過程(1)最終用戶、員工、系統(tǒng)開發(fā)和維護人員都會提出變更請求,目的是解決問題,提高系統(tǒng)操作性

能,在任何情況下,變更請求都需要從適當(dāng)?shù)淖罱K用戶和系統(tǒng)管理層獲得授權(quán)(如變更控制小組、

配置控制委員會等)。(2)用戶需要采用正式書面申請信函,如標準變化申請表、便箋、電子郵件等,向系統(tǒng)管理層表達

變更申請。(3)變更申請表的格式、內(nèi)容應(yīng)該保證行動的所有變化都考慮在內(nèi),保證系統(tǒng)管理人員易于追溯到

申請的狀態(tài)。(4)變更主要是由于源程序錯誤和業(yè)務(wù)處理發(fā)生變化引起。信息系統(tǒng)審計106第四節(jié)信息系統(tǒng)變更管理一、變更管理87信息系統(tǒng)審計107(5)用戶對系統(tǒng)測試結(jié)果和文檔的充分性表示滿意后,需要得到用戶管理層的批準。(6)所有變更請求和相關(guān)信息作為系統(tǒng)的永久文檔由用戶維護人員保留。(7)如果IT部門很小,處理的應(yīng)用數(shù)也很少,很難進行職責(zé)劃分,當(dāng)變更程序的程序員也是系統(tǒng)的操

作者時,必須遵循變更管理步驟。(8)在緊急變更的情況下,要能夠使系統(tǒng)問題得到及時解決或緊急修補,以保證系統(tǒng)的完整性。(9)為保證有效利用維護系統(tǒng),所有相關(guān)文檔都需要更新。二、實施變更三、文檔化四、測試變更后的程序信息系統(tǒng)審計107(5)用戶對系統(tǒng)測試結(jié)果和文檔的充分性表示88信息系統(tǒng)審計108(1)已存在的功能沒有被變更破壞。(2)系統(tǒng)性能沒有被破壞。(3)沒有產(chǎn)生不安全的風(fēng)險。五、程序變更審計(1)限制對程序庫的訪問。(2)進行監(jiān)督和審查。(3)變更申請應(yīng)該有報批流程并文檔化。(4)變更潛在影響應(yīng)予以評估。(5)變更申請應(yīng)該以標準形式形成文檔,并注意如下方面:變更說明應(yīng)該充分描述,進行成本分析,確

立完成日期;變更形式應(yīng)該經(jīng)過用戶簽名批準;變更形式需要程序管理員批準;工作應(yīng)委派給分析信息系統(tǒng)審計108(1)已存在的功能沒有被變更破壞。(2)系89信息系統(tǒng)審計109員,程序員和程序組長進行監(jiān)督。(6)在審計期間,可抽查程序變化的一個樣本追蹤到維護表格,確定變化是否進行了授權(quán),審查表格

是否進行了報批,比較表格上批準的日期和產(chǎn)品更新的日期。(1)當(dāng)用戶提出系統(tǒng)變更需求時,應(yīng)有授權(quán)、優(yōu)先排序及跟蹤的機制。(2)在日常工作手冊中,是否明確指出緊急變更程序。(3)變更控制程序是否適時為用戶及項目開發(fā)組所認可。(4)變更控制日志是否確認所記錄的變更都已完成。(5)評估對產(chǎn)品源代碼和可執(zhí)行代碼模塊的安全訪問限制是否充分。(6)評估組織在處理緊急情況下的程序變更的流程是否合理。(7)評估對使用緊急情況下登錄的安全訪問控制是否充分。信息系統(tǒng)審計109員,程序員和程序組長進行監(jiān)督。(6)在審計90信息系統(tǒng)審計110(8)評估變更需求被記錄在適當(dāng)?shù)纳暾埼募小?9)確認現(xiàn)存文件均已反映變更后的系統(tǒng)環(huán)境。(10)評估系統(tǒng)變更的測試程序的適當(dāng)性。(11)復(fù)核測試計劃與測試結(jié)果等適當(dāng)證據(jù),確認該測試程序是依據(jù)組織相關(guān)標準而定的。(12)復(fù)核保證源代碼與可執(zhí)行碼完整性的程序。(13)復(fù)核產(chǎn)品可執(zhí)行模塊,證實有且只有唯一與源代碼對應(yīng)的最新版本。(14)復(fù)核整個變革管理流程在時間成本、效率方面、用戶滿意度上是否有需改善之處。六、緊急變更七、將變更移植到生產(chǎn)環(huán)境信息系統(tǒng)審計110(8)評估變更需求被記錄在適當(dāng)?shù)纳暾埼募?1信息系統(tǒng)審計111(1)在數(shù)據(jù)轉(zhuǎn)換時存在控制。(2)培訓(xùn)員工使用修改后的軟件。(3)為修改后的系統(tǒng)用戶提供支持。(4)減少在同一個時間更新所有點的風(fēng)險,一旦發(fā)生錯誤必須要恢復(fù)。八、變更風(fēng)險(非授權(quán)變更)(1)程序員訪問了生產(chǎn)庫。(2)負責(zé)應(yīng)用的用戶不知道變化。(3)變化需求表格和流程沒有正式建立。(4)管理層沒有在變化表格上簽字同意開始更新。信息系統(tǒng)審計111(1)在數(shù)據(jù)轉(zhuǎn)換時存在控制。(2)培訓(xùn)員工92信息系統(tǒng)審計112(5)用戶沒有在變化更新前在變更表格上簽字同意。(6)沒有合適的編程人員審查變化的源代碼。(7)管理層沒有在變更表格上簽字批準將代碼更新到生產(chǎn)環(huán)境。(8)程序員為了個人利益添加額外程序代碼。(9)軟件供應(yīng)商進行的修改沒有被測試,或供應(yīng)商被允許直接將修改更新到生產(chǎn)環(huán)境。

第五節(jié)軟件配置管理信息系統(tǒng)審計112(5)用戶沒有在變化更新前在變更表格上簽字93信息系統(tǒng)審計113一、軟件配置管理(一)配置管理的內(nèi)容1.配置標識2.配置控制3.統(tǒng)計配置狀態(tài)4.配置監(jiān)控(二)配置管理的流程1.制定配置管理的制度、程序和計劃2.維護配置的信息信息系統(tǒng)審計113一、軟件配置管理(一)配置管理的內(nèi)容1.配94信息系統(tǒng)審計1143.配置變更4.監(jiān)控配置5.配置緊急變更的處理(1)建立配置管理計劃。(2)將代碼和相關(guān)文檔基線化。(3)分析并報告配置控制的結(jié)果。(4)建立配置狀態(tài)信息報告。(5)建立發(fā)布流程。(6)執(zhí)行配置控制活動,例如識別和記錄請求。信息系統(tǒng)審計1143.配置變更4.監(jiān)控配置5.配置緊急變更的95信息系統(tǒng)審計115(7)更新配置狀態(tài)數(shù)據(jù)庫。(1)識別受變更請求影響的配置項并幫助評估影響。(2)記錄受到變更影響的配置項。(3)根據(jù)授權(quán)記錄實施變更。(4)當(dāng)實施授權(quán)變更和發(fā)布時登記配置項發(fā)生的變化。(5)記錄與發(fā)布相關(guān)的基線,以便能夠在變更失敗時按照已知的結(jié)果進行恢復(fù)。二、軟件發(fā)布管理(一)重要發(fā)布(二)小版本發(fā)布信息系統(tǒng)審計115(7)更新配置狀態(tài)數(shù)據(jù)庫。(1)識別受變更96信息系統(tǒng)審計116(三)緊急軟件補丁(1)一致同意發(fā)布的內(nèi)容。(2)同意根據(jù)時間、地點、業(yè)務(wù)部門和客戶劃分階段。(3)建立高層發(fā)布進度。(4)計劃資源水平。(5)同意角色和責(zé)任。(6)建立備用計劃。(7)為發(fā)布的版本建立質(zhì)量計劃。(8)計劃支持部門和用戶的接受度。信息系統(tǒng)審計116(三)緊急軟件補丁(1)一致同意發(fā)布的內(nèi)容97信息系統(tǒng)審計117三、程序庫控制軟件(1)防止程序員訪問產(chǎn)品源代碼和對象庫。(2)防止整批的程序更新動作。(3)要求控制人員或操作員來取出源代碼并將其放到程序員的程序庫里,要求程序員把要替換的源

代碼交給控制人員或操作員,來更新目標代碼程序庫或進行測試。(4)要求控制人員或操作員在完成測試后更新目標代碼程序庫的版本編號。(5)對源代碼實行只讀訪問控制。(6)要求程序命名要采用唯一的標識方式以將測試版和正式版區(qū)別開來。(7)在作業(yè)控制語言中加入篩選控制,以避免因誤用程序名稱而讓正常作業(yè)執(zhí)行了測試程序。信息系統(tǒng)審計117三、程序庫控制軟件(1)防止程序員訪問產(chǎn)品98信息系統(tǒng)審計118(8)一旦錯誤發(fā)生時,可以將修改恢復(fù)。四、執(zhí)行碼及源代碼的完整性五、源代碼比較

第六節(jié)IT服務(wù)管理一、IT服務(wù)管理產(chǎn)生的背景信息系統(tǒng)審計118(8)一旦錯誤發(fā)生時,可以將修改恢復(fù)。四、99信息系統(tǒng)審計119(一)IT發(fā)展歷程信息系統(tǒng)審計119(一)IT發(fā)展歷程100信息系統(tǒng)審計120表9—1IS/IT發(fā)展各歷程的特點特點發(fā)展階段技術(shù)層面業(yè)務(wù)層面信息系統(tǒng)層

面IS核心能力數(shù)據(jù)處理階

段主機集中計

算業(yè)務(wù)自動化由應(yīng)用推動技術(shù)的理解

能力信息技術(shù)階

段分布式計算競爭優(yōu)勢參與市場網(wǎng)

絡(luò)業(yè)務(wù)的理解

能力信息管理階

段網(wǎng)絡(luò)計算信息優(yōu)勢IT基礎(chǔ)設(shè)施

管理適應(yīng)性和變

革能力信息系統(tǒng)審計120表9—1IS/IT發(fā)展各歷程的特點特點技術(shù)101信息系統(tǒng)審計121表9—1IS/IT發(fā)展各歷程的特點信息業(yè)務(wù)階

段普適計算新業(yè)務(wù)優(yōu)勢新業(yè)務(wù)開發(fā)經(jīng)營管理能

力信息系統(tǒng)審計121表9—1IS/IT發(fā)展各歷程的特點信息業(yè)務(wù)102信息系統(tǒng)審計122(二)IT服務(wù)管理產(chǎn)生背景(1)IT基礎(chǔ)架構(gòu)與組織業(yè)務(wù)需求缺乏足夠的整合。(2)各IT組件、各系統(tǒng)之間缺乏有效的協(xié)調(diào)和必要的繼承。(3)實施和運作這些IT系統(tǒng)的成本很高,而發(fā)揮的效益卻非常有限。(三)IT服務(wù)管理的發(fā)展歷史1.萌芽期2.發(fā)展期3.成熟期二、IT服務(wù)管理的定義信息系統(tǒng)審計122(二)IT服務(wù)管理產(chǎn)生背景(1)IT基礎(chǔ)架103信息系統(tǒng)審計123(一)IT的定義(二)什么是服務(wù)(三)IT服務(wù)(四)IT服務(wù)管理(ITSM)三、ITIL信息系統(tǒng)審計123(一)IT的定義(二)什么是服務(wù)(三)IT104信息系統(tǒng)審計124圖9—3ITIL的主體框架(一)IT服務(wù)管理實施規(guī)劃信息系統(tǒng)審計124圖9—3ITIL的主體框架(一)IT服務(wù)105信息系統(tǒng)審計125(二)業(yè)務(wù)管理(三)ICT基礎(chǔ)架構(gòu)管理(四)應(yīng)用管理(五)安全管理(六)服務(wù)管理信息系統(tǒng)審計125(二)業(yè)務(wù)管理(三)ICT基礎(chǔ)架構(gòu)管理(四106信息系統(tǒng)審計126圖9—4ITIL各流程和職能之間的關(guān)系信息系統(tǒng)審計126圖9—4ITIL各流程和職能之間的關(guān)系107信息系統(tǒng)審計127四、IT服務(wù)提供流程信息系統(tǒng)審計127四、IT服務(wù)提供流程108信息系統(tǒng)審計128圖9—5IT服務(wù)提供流程(1)如何在服務(wù)級別協(xié)議(ServiceLevelAgreement,SLA)中清楚地定義條款,使其可優(yōu)化IT服務(wù)成信息系統(tǒng)審計128圖9—5IT服務(wù)提供流程(1)如何在服務(wù)109信息系統(tǒng)審計129本,并為用戶所接受。(2)如何監(jiān)控和討論所提供的服務(wù)。(3)如何管理IT服務(wù)組織的供應(yīng)商及其下包合同服務(wù)級別管理流程是用來確保服務(wù)級別協(xié)議(Ser-

viceLevelAgreements,SLAs),并支持運行級別協(xié)議(OperationalLevelAgreements,OLAs)及其他合

同,保證所有對服務(wù)質(zhì)量的影響減少到最小。信息系統(tǒng)審計129本,并為用戶所接受。(2)如何監(jiān)控和討論所110信息系統(tǒng)審計130圖9—6IT服務(wù)財務(wù)管理流程信息系統(tǒng)審計130圖9—6IT服務(wù)財務(wù)管理流程111信息系統(tǒng)審計131五、IT服務(wù)支持管理信息系統(tǒng)審計131五、IT服務(wù)支持管理112信息系統(tǒng)審計132圖9—7IT服務(wù)支持管理流程(1)服務(wù)臺——保持與用戶緊密溝通,了解用戶對IT服務(wù)的真實體驗。信息系統(tǒng)審計132圖9—7IT服務(wù)支持管理流程(1)服務(wù)臺113信息系統(tǒng)審計133(2)問題管理——實現(xiàn)有效的問題控制和錯誤控制。(3)突發(fā)事件管理——減少事故和故障對業(yè)務(wù)的影響。(4)變更管理——促進IT服務(wù)與業(yè)務(wù)更好的整合,減少變更對業(yè)務(wù)的影響,保證服務(wù)。(5)配置管理——實現(xiàn)有效的rr組件管理和準確的開支計劃。(6)發(fā)布管理——有效的發(fā)布管理可以確保所有的軟件和硬件變更方案及時到達業(yè)務(wù)方。(一)服務(wù)臺(二)問題管理信息系統(tǒng)審計133(2)問題管理——實現(xiàn)有效的問題控制和錯誤114信息系統(tǒng)審計134圖9—8問題管理流程(三)突發(fā)事件管理信息系統(tǒng)審計134圖9—8問題管理流程(三)突發(fā)事件管理115信息系統(tǒng)審計135圖9—9突發(fā)事件管理流程(四)變更管理信息系統(tǒng)審計135圖9—9突發(fā)事件管理流程(四)變更管理116信息系統(tǒng)審計136圖9—10變更管理流程(五)配置管理信息系統(tǒng)審計136圖9—10變更管理流程(五)配置管理117信息系統(tǒng)審計137(六)發(fā)布管理信息系統(tǒng)審計137(六)發(fā)布管理118信息系統(tǒng)審計138圖9—11配置管理流程信息系統(tǒng)審計138圖9—11配置管理流程119信息系統(tǒng)審計139第十章信息系統(tǒng)安全審計

第一節(jié)信息系統(tǒng)面臨的威脅信息系統(tǒng)審計139第十章信息系統(tǒng)安全審計

第一節(jié)120信息系統(tǒng)審計140表10—1引發(fā)信息系統(tǒng)安全的各種因素項目面臨的風(fēng)險數(shù)據(jù)輸入數(shù)據(jù)容易被篡改或輸入虛假數(shù)據(jù)數(shù)據(jù)輸出經(jīng)過處理的數(shù)據(jù)通過各種設(shè)備輸出,

有被泄露和被盜看的可能數(shù)據(jù)存取與備份非法用戶可能侵入系統(tǒng)而存取數(shù)據(jù),

也可能由于沒有備份數(shù)據(jù)而使系統(tǒng)

發(fā)生故障后難以恢復(fù)信息系統(tǒng)審計140表10—1引發(fā)信息系統(tǒng)安全的各種因素項目121信息系統(tǒng)審計141表10—1引發(fā)信息系統(tǒng)安全的各種因素系統(tǒng)開發(fā)與源程序系統(tǒng)開發(fā)設(shè)計中由于人為和自然原

因,可能留下各種隱患和缺陷。用編

程語言書寫成的計算機處理程序,容

易被修改和竊取,并且程序本身也可

能存在漏洞應(yīng)用軟件軟件的程序被修改或被破壞,會損壞

系統(tǒng)的功能,進而導(dǎo)致系統(tǒng)癱瘓;軟

件文檔的遺失也會給軟件升級與維

護帶來困難信息系統(tǒng)審計141表10—1引發(fā)信息系統(tǒng)安全的各種因素系統(tǒng)開122信息系統(tǒng)審計142表10—1引發(fā)信息系統(tǒng)安全的各種因素數(shù)據(jù)庫數(shù)據(jù)庫存有大量的數(shù)據(jù)資源,而且有

些數(shù)據(jù)價值連城,如果遭到破壞或失

竊,其損失將難以估價信息系統(tǒng)審計142表10—1引發(fā)信息系統(tǒng)安全的各種因素數(shù)據(jù)庫123信息系統(tǒng)審計143表10—1引發(fā)信息系統(tǒng)安全的各種因素項目面臨的風(fēng)險操作系統(tǒng)操作系統(tǒng)是支持系統(tǒng)運行、保障數(shù)

據(jù)安全、協(xié)調(diào)處理業(yè)務(wù)和聯(lián)機運行

的關(guān)鍵部分,如果遭到攻擊和破壞,

將會造成系統(tǒng)運行的崩潰硬件系統(tǒng)計算機硬件本身具有被破壞、盜竊

的可能。此外,組成計算機的電子設(shè)

備和元件也存在偶然故障的可能,有

時這種偶然故障可能是致命的信息系統(tǒng)審計143表10—1引發(fā)信息系統(tǒng)安全的各種因素項目124信息系統(tǒng)審計144表10—1引發(fā)信息系統(tǒng)安全的各種因素網(wǎng)絡(luò)和通信網(wǎng)絡(luò)可以將不同地點的計算機信息

系統(tǒng)連接在一起,這樣就有可能導(dǎo)致

未經(jīng)許可的數(shù)據(jù)存取、濫用。發(fā)生

錯誤的可能性不僅僅局限于單個計

算機,而是在網(wǎng)絡(luò)的每一點上都可能

發(fā)生。信息和數(shù)據(jù)通過通信系統(tǒng)進

行傳輸面臨被竊聽的危險信息系統(tǒng)審計144表10—1引發(fā)信息系統(tǒng)安全的各種因素網(wǎng)絡(luò)和125信息系統(tǒng)審計145表10—1引發(fā)信息系統(tǒng)安全的各種因素環(huán)境保障系統(tǒng)信息系統(tǒng)需要一個良好的運行環(huán)境,

周圍環(huán)境的溫度、濕度、清潔度以

及一些自然災(zāi)害等,都會對計算機硬

件、軟件造成影響企業(yè)內(nèi)部人員的因素低水平的安全管理,人員素質(zhì)低下,

偶然的操作失誤或故障,違法犯罪行

為等,都會成為影響信息系統(tǒng)安全的

因素信息系統(tǒng)審計145表10—1引發(fā)信息系統(tǒng)安全的各種因素環(huán)境保126信息系統(tǒng)審計146表10—1引發(fā)信息系統(tǒng)安全的各種因素黑客與病毒一些非法的網(wǎng)絡(luò)客戶,出于各種動

機,利用所掌握的信息技術(shù)會進入未

經(jīng)授權(quán)的信息系統(tǒng),惡意的黑客可能

導(dǎo)致嚴重的問題。病毒會在計算機

系統(tǒng)之間進行傳播,會在某個特定的

時刻破壞計算機內(nèi)的程序、數(shù)據(jù)甚

至硬件,損壞系統(tǒng),甚至使系統(tǒng)癱瘓信息系統(tǒng)審計146表10—1引發(fā)信息系統(tǒng)安全的各種因素黑客與127信息系統(tǒng)審計147

信息系統(tǒng)審計147

128信息系統(tǒng)審計148表10—1引發(fā)信息系統(tǒng)安全的各種因素

第二節(jié)信息系統(tǒng)安全管理信息系統(tǒng)審計148表10—1引發(fā)信息系統(tǒng)安全的各種因素?129信息系統(tǒng)審計149第二節(jié)信息系統(tǒng)安全管理一、信息安全二、信息安全管理三、信息安全管理的重要性

第三節(jié)信息系統(tǒng)安全審計信息系統(tǒng)審計149第二節(jié)信息系統(tǒng)安全管理一、信息安全130信息系統(tǒng)審計150一、信息系統(tǒng)安全審計的定義二、信息系統(tǒng)安全審計的依據(jù)三、信息系統(tǒng)安全審計的目標四、信息系統(tǒng)安全審計的關(guān)注內(nèi)容及程序(一)信息安全管理體系建設(shè)1.信息安全制度體系2.信息安全組織體系3.信息安全資產(chǎn)管理體系信息系統(tǒng)審計150一、信息系統(tǒng)安全審計的定義二、信息系統(tǒng)安全131信息系統(tǒng)審計151(二)評估信息安全風(fēng)險,確定安全保護等級(三)實施信息安全管理(四)人員安全教育培訓(xùn)和管理1.信息安全教育計劃2.人員安全管理3.信息安全培訓(xùn)(五)測評信息安全工作的有效性(六)有效彌補信息安全缺陷(七)確保由外部第三方執(zhí)行的活動受到足夠的控制信息系統(tǒng)審計151(二)評估信息安全風(fēng)險,確定安全保護等級(132信息系統(tǒng)審計152(1)詢問被審計單位制定信息系統(tǒng)安全策略所依據(jù)的標準。(2)獲取被審計單位制定的各項信息系統(tǒng)安全控制措施。(3)復(fù)核安全訪問規(guī)則,確認是否符合企業(yè)運營目標,并合理劃分職責(zé)。(4)與安全管理人員、網(wǎng)管人員、數(shù)據(jù)庫管理員、應(yīng)用系統(tǒng)開發(fā)經(jīng)理進行面談,了解其工作職責(zé)及

相應(yīng)的安全管理過程。(5)審查安全策略、標準、規(guī)程和指南的使用,并確認有關(guān)文檔是否已發(fā)給相關(guān)員工。(6)審查安全管理人員、網(wǎng)管人員、數(shù)據(jù)庫管理員、應(yīng)用系統(tǒng)開發(fā)經(jīng)理是否有足夠的經(jīng)驗和專業(yè)

知識。(7)檢查被審計單位的實體安全控制、軟件安全控制、數(shù)據(jù)安全控制、系統(tǒng)入侵防范控制、通信

網(wǎng)絡(luò)安全控制和病毒防范控制等安全控制措施,確認其是否健全。(8)實地觀察被審計單位的實體安全環(huán)境,確認其是否符合有關(guān)標準。信息系統(tǒng)審計152(1)詢問被審計單位制定信息系統(tǒng)安全策略所133信息系統(tǒng)審計153(9)實地觀察計算機房中水及煙霧探測器等裝置,檢查其電力供應(yīng)是否充足,觀察這些裝置的位置

是否有明顯的標識。(10)查看滅火器的位置是否適當(dāng),是否顯而易見,最近是否進行過檢驗。(11)審查計算機房防火墻、地板和天花板的耐火能力。(12)檢查備份電力系統(tǒng)的配置和使用。(13)觀察電線是否配置在防火板槽里。(14)查看監(jiān)視器和警報系統(tǒng)。(15)檢查不間斷電源的配置情況及測試報告。(16)觀察計算機房的進出控制,查看出入登記日志。(17)取得一份應(yīng)急計劃,判斷是否有信息處理設(shè)備保持安全的規(guī)定措施,詢問負責(zé)信息系統(tǒng)的員工,信息系統(tǒng)審計153(9)實地觀察計算機房中水及煙霧探測器等裝134信息系統(tǒng)審計154對這份計劃是否熟悉。(18)觀察軟件訪問及操作運行情況。(19)檢查軟件備份及保管情況。(20)采集操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、應(yīng)用系統(tǒng)和網(wǎng)絡(luò)設(shè)備等的日志進行分析,確認各項安全控

制措施是否有效執(zhí)行。(21)檢查用戶的數(shù)據(jù)存取權(quán)限表及數(shù)據(jù)讀、寫、修改和刪除等存取控制表,確認是否合理授權(quán)。(22)詢問被審計單位對重要數(shù)據(jù)是否加密。(23)檢查備份數(shù)據(jù)的登記記錄,確認所有數(shù)據(jù)備份是否都清晰登記,并妥善保管。(24)試圖訪問沒有訪問權(quán)限的數(shù)據(jù)和交易,訪問應(yīng)不會成功,并且會記錄在安全報告中,查看非法訪

問記錄與報告。信息系統(tǒng)審計154對這份計劃是否熟悉。(18)觀察軟件訪問及135信息系統(tǒng)審計155(25)審查網(wǎng)絡(luò)連接圖,查看各計算機、終端設(shè)備及網(wǎng)絡(luò)交換機和調(diào)制解調(diào)器等輔助系統(tǒng)間的通信

傳輸連接點,盤點其數(shù)量以確保網(wǎng)絡(luò)架構(gòu)圖的正確性。(26)取得終端設(shè)備的存儲位置清單,據(jù)此盤點終端設(shè)備的庫存數(shù),確認記錄的正確性和終端設(shè)備在

網(wǎng)絡(luò)上確實存在。(27)查閱訪問權(quán)限文件樣本,判斷是否規(guī)定適當(dāng)?shù)臋?quán)限,權(quán)限的取得要求是否合理。(28)取得打印的計算規(guī)則報表并抽查該報表,判斷實際發(fā)生的訪問是否與核準訪問的文件相一致

。(29)取得終端設(shè)備識別卡及鑰匙,并謀劃越過權(quán)限訪問計算機數(shù)據(jù),了解安全管理員是否追查越權(quán)

的非法訪問行為。(30)建立一個不符合要求的密碼,如太短、數(shù)字或字符使用不當(dāng)?shù)?對密碼格式要求進行測試。(31)抽查密碼變更記錄,判斷用戶是否在規(guī)定的時間內(nèi)變更其密碼。信息系統(tǒng)審計155(25)審查網(wǎng)絡(luò)連接圖,查看各計算機、終端136信息系統(tǒng)審計156(32)嘗試登錄終端設(shè)備,并故意輸入數(shù)次錯誤密碼,判斷錯誤密碼輸入數(shù)次后該登錄賬號是否被鎖

定,審查安全管理員是否在驗證或核實相關(guān)人員身份后才進行解鎖。(33)登錄終端設(shè)備并輸入密碼,觀察密碼是否屏蔽明文顯示。(34)檢查系統(tǒng)是否安裝實施防火墻,評估網(wǎng)絡(luò)架構(gòu)和防火墻的配置是否正確設(shè)計。(35)審查所使用的加密機制和網(wǎng)絡(luò)安全認證機制。(36)模仿入侵訪問報告系統(tǒng),檢查系統(tǒng)入侵防范控制是否有效。(37)檢查入侵訪問報告,查看對入侵訪問的追蹤和審查記錄。(38)檢查是否安裝有防病毒軟件,查看計算機病毒檢測和清除的記錄。(39)抽查安全控制措施進行測試,如果檢查出嚴重的控制弱點,應(yīng)擴大測試的范圍,加大測試力度。

信息系統(tǒng)審計156(32)嘗試登錄終端設(shè)備,并故意輸入數(shù)次錯137信息系統(tǒng)審計157

第四節(jié)業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)計劃一、災(zāi)難與業(yè)務(wù)中斷二、災(zāi)難恢復(fù)與業(yè)務(wù)連續(xù)性計劃三、業(yè)務(wù)影響分析(BusinessImpactAnalysis,BIA)(一)組織的主要業(yè)務(wù)流程(二)與組織關(guān)鍵業(yè)務(wù)流程相關(guān)的關(guān)鍵信息資源信息系統(tǒng)審計157

第四節(jié)業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)計劃一138信息系統(tǒng)審計158(三)關(guān)鍵恢復(fù)時間周期信息系統(tǒng)審計158(三)關(guān)鍵恢復(fù)時間周期139信息系統(tǒng)審計159圖10—2恢復(fù)成本與停機成本信息系統(tǒng)審計159圖10—2恢復(fù)成本與停機成本140信息系統(tǒng)審計160四、重要性分類信息系統(tǒng)審計160四、重要性分類141信息系統(tǒng)審計161表10—2風(fēng)險排序系統(tǒng)包含的分類標準重要性分類描述關(guān)鍵的(Critical)因災(zāi)難停機后,除非使用同樣能力的

系統(tǒng)進行替代,否則這些功能不再起

作用。關(guān)鍵應(yīng)用只能是計算機系統(tǒng)

控制的全自動方式,不能使用人工方

式替代,組織對系統(tǒng)中斷的忍耐力非

常有限,所以停機的成本很高,必須

對系統(tǒng)立即恢復(fù)(通常是幾個小時到

1天)信息系統(tǒng)審計161表10—2風(fēng)險排序系統(tǒng)包含的分類標準重要性142信息系統(tǒng)審計162表10—2風(fēng)險排序系統(tǒng)包含的分類標準重要的(Vital)因災(zāi)難停機后,這些功能可以由人工

方式完成,但只能維護一段時間,與

關(guān)鍵的系統(tǒng)相比,此級別的系統(tǒng)可以

對系統(tǒng)中斷有更強的忍耐力,所以可

以降低中斷成本,在一定時間范圍內(nèi)

恢復(fù)系統(tǒng)(通常是1天到5天)信息系統(tǒng)審計162表10—2風(fēng)險排序系統(tǒng)包含的分