信息系統(tǒng)審計 課件 【ch07】信息系統(tǒng)安全管理審計

信息系統(tǒng)安全管理審計第七章高等院校公共課系列精品教材信息系統(tǒng)審計物理安全控制審計0101物理安全控制審計物理安全控制審計的目標和內(nèi)容物理安全控制審計的風險通過對物理設施，特別是機房所處物理環(huán)境的安全檢查，判斷被審計單位是否采取了有效的物理安全控制措施，保障機房等物理環(huán)境的安全，防范非法訪問，確保機房等重要物理設施持續(xù)、可靠地提供服務。(1)機房和辦公場所所處的物理環(huán)境不符合安全需求，存在安全風險。(2)機房和重要辦公場所等未采取有效的物理安全防護措施，防范非法物理訪問，存在資產(chǎn)丟失或遭受破壞的風險。(3)末針對機房等重要物理設施建立完善的安全管理制度和操作規(guī)范流程，并缺少必要的資源保障或安全控制措施，存在發(fā)生電力中斷、火災、水災等安全隱患。01物理安全控制審計物理安全控制審計的主要方法和程序物理安全控制審計的主要方法和程序如表7-2所示。網(wǎng)絡安全控制審計0201網(wǎng)絡安全控制審計網(wǎng)絡安全控制審計的目標和內(nèi)容網(wǎng)絡安全控制審計的風險網(wǎng)絡安全控制審計的目標是從網(wǎng)絡設備、網(wǎng)絡結構、網(wǎng)絡傳輸、網(wǎng)絡接入與訪問控制、網(wǎng)絡入侵防范、惡意代碼防范等方面的檢查與評價，來確保網(wǎng)絡支持信息系統(tǒng)平穩(wěn)運行的真實性、完整性和安全性。網(wǎng)絡安全架構設計不合理，網(wǎng)絡安全域劃分不完善，未采取有效的訪問控制措施和網(wǎng)絡邊界安全控制措施。主機與設備的網(wǎng)絡接入沒有得到有效的識別與控制，存在網(wǎng)絡非法接入或外聯(lián)現(xiàn)象。未根據(jù)業(yè)務與場景的需要而采取有效的傳輸安全控制措施，存在傳輸數(shù)據(jù)泄露的風險。網(wǎng)絡入侵與惡意代碼防護不到位，容易造成內(nèi)外部攻擊者入侵風險和惡意代碼傳播風險。未部署有效的網(wǎng)絡安全審計工具或日志管理機制不健全，導致無法實現(xiàn)對網(wǎng)絡安全事件進行留痕和溯源的風險。01網(wǎng)絡安全控制審計網(wǎng)絡安全控制審計的主要方法和程序網(wǎng)絡安全控制審計的主要方法和程序如表7-3所示。主機安全控制審計0301主機安全控制審計主機安全控制審計的目標和內(nèi)容主機安全控制管理是指為了確保主機及其存儲信息的安全，采取包括主機訪問控制、用戶身份鑒別、入侵及惡意代碼防范等保護措施以及主機資源監(jiān)控和安全審計等手段，確保主機資源的可用性并實現(xiàn)對主機重要操作等用戶行為的安全監(jiān)控和審計，同時滿足對日志管理的要求。主機安全控制審計的目標是檢查和評價主機安全防護和訪問控制情況，確保主機的安全性、連續(xù)性。主機安全包括服務器或其他數(shù)據(jù)集中處理設備上的操作系統(tǒng)、數(shù)據(jù)庫的安全。審計人員應檢查主要服務器或其他設備操作系統(tǒng)、數(shù)據(jù)庫的身份認證、訪問控制等方面的安全策略和防護措施。01主機安全控制審計主機安全控制的風險(1)未制定完善的訪問控制策略或采取有效的訪問控制措施對主機及其資源訪問進行控制，容易造成訪問權限過大、職責交叉等風險。(2)主機用戶的身份鑒別控制措施和策略不完善，致使出現(xiàn)主機用戶身份識別有誤、多人共用同一登錄賬號、身份驗證信息泄露、主機密碼設置過于簡單，未采用多種身份鑒別技術等風險。(3)未對主機實施有效的入侵檢測與惡意代碼防范措施，或主機惡意代碼版本更新不及時，致使遭受惡意攻擊。(4)未對主機資源進行有效監(jiān)控，導致主機資源不可用或無法有效支撐業(yè)務發(fā)展。(5)未部署有效的主機安全審計工具或日志管理機制不健全，導致無法實現(xiàn)對主機的違規(guī)操作進行有效識別和記錄。01主機安全控制審計主機安全控制審計的主要方法和程序主機安全控制審計的主要方法和程序如表7-4所示。應用安全控制審計0401應用安全控制審計應用安全控制審計目標和內(nèi)容應用安全控制審計的目標是對應用系統(tǒng)的訪問，數(shù)據(jù)輸入、處理、傳輸和輸出安全進行控制，以保證業(yè)務應用的安全性、連續(xù)性。通過對應用系統(tǒng)客戶端、服務端及應用系統(tǒng)自身全生命周期的安全審計，確?？蛻舳藰I(yè)務邏輯模塊、安全模塊、交互功能、接口功能以及服務端認證權、業(yè)務邏輯，及其所涉及的通信功能的安全。01應用安全控制審計應用安全控制的風險(1)未制定完善的訪問控制策略或采取有效的訪問控制措施對主機及其資源訪問進行控制，容易造成訪問權限過大、職責交叉等風險。(2)應用系統(tǒng)在設計、編碼和測試階段未考慮安全控制措施，未使用國家管理部門認可的加解密算法或算法過于簡單，無法保證應用系統(tǒng)中數(shù)據(jù)傳輸、操作和存儲的安全性。(3)未執(zhí)行源代碼安全檢查或安全檢查不到位，無法及時發(fā)現(xiàn)代碼中存在的非法后門和安全漏洞，一旦受到惡意攻擊，將威脅應用系統(tǒng)的安全性，甚至導致客戶端敏感信息泄露。(4)應用系統(tǒng)操作日志記錄不全面，無法有效利用日志分析應用系統(tǒng)存在的安全風險和隱患，不利于應用系統(tǒng)的日常維護和安全管控。(5)應用系統(tǒng)安全需求評審不到位，可能導致無法在設計和編碼階段融入安全需求，不利于應用系統(tǒng)的安全需求的落實。01應用安全控制審計應用安全控制審計的主要方法和程序應用安全控制審計的主要方法和程序如表7-5所示。01應用安全控制審計應用安全控制審計的主要方法和程序數(shù)據(jù)安全控制審計0501數(shù)據(jù)安全控制審計數(shù)據(jù)安全控制審計的目標和內(nèi)容數(shù)據(jù)是被審計單位的核心資產(chǎn)，直接反映被審計單位的經(jīng)營和管理狀況。要保障應用程序正在處理的數(shù)據(jù)和數(shù)據(jù)庫中存儲的數(shù)據(jù)的安全，必須采取有效的安全控制措施。數(shù)據(jù)安全控制審計的目標是確保被審計單位信息系統(tǒng)主要業(yè)務數(shù)據(jù)的真實性、完整性和安全性。審計人員應檢查主要經(jīng)營和管理數(shù)據(jù)的完整性、保密性、備份和恢復方面的安全策略和防護措施。通過制度層面及數(shù)據(jù)全生命周期管理、完整性和保密性等方面的檢查，確保組織對數(shù)據(jù)均進行安全控制，同時采取必要的技術工具，防范數(shù)據(jù)完整性遭受破壞、數(shù)據(jù)泄露并確保數(shù)據(jù)的可用性。01數(shù)據(jù)安全控制審計數(shù)據(jù)安全控制的風險(1)未建立數(shù)據(jù)全生命周期的安全管理制度，無法有效對數(shù)據(jù)安全的各項工作進行管控，不利于落實數(shù)據(jù)全生命周期的安全要求。(2)未對重要和敏感數(shù)據(jù)進行分類分級，無法針對不同類別的數(shù)據(jù)進行不同的安全控制措施，可能導致安全管控過重或安全管控缺失。(3)在數(shù)據(jù)采集、處理、存儲、傳輸、分發(fā)、備份、恢復、清理和銷毀等階段，未充分采取有效的技術工具，一旦數(shù)據(jù)遭到非法訪問與使用，可能出現(xiàn)數(shù)據(jù)泄露和完整性遭到破壞等風險。01數(shù)據(jù)安全控制審計數(shù)據(jù)安全控制審計的主要方法和程序數(shù)據(jù)安全控制審計的主要方法和程序如表7-6所示。01數(shù)據(jù)安全控制審計數(shù)據(jù)安全控制審計的主要方法和程序終端安全控制審計0601終端安全控制審計終端安全控制審計的目標和內(nèi)容終端安全控制審計的目標是確保被審計單位終端設備所處理和存儲的業(yè)務數(shù)據(jù)的真實性、完整性和安全性。通過對制度規(guī)范及固定終端和移動終端安全的檢查，確定被審計單位是否制定相應的管理制度，從而對各類設備的選取、采購、申領、發(fā)放和運維等流程進行管理，以及對兩種終端采取安全保護措施。終端安全控制的風險(1)未建立終端設備安全管理制度，可能無法有效落實對信息系統(tǒng)各類軟、硬件設備的選取、采購、申領、發(fā)放等過程的規(guī)范化管理。(2)對移動存儲介質的安全防護措施部署不充分或執(zhí)行不到位，可能會導致存儲的重要數(shù)據(jù)或敏感信息遭到泄露。01終端安全控制審計終端安全控制審計的主要方法和程序終端安全控制審計的主要方法和程序如表7-7所示。運行安全控制審計0701運行安全控制審計運行安全控制審計的目標運行安全控制審計的目標是確保被審計單位的信息系統(tǒng)平穩(wěn)運行，從而保證業(yè)務的連續(xù)性和數(shù)據(jù)的安全性。運行安全控制審計的內(nèi)容(1)人員安全管理審計。(2)安全管理崗位職能審計。安全管理崗位的職能包括組織架構設置、人員安排、授權審批情況、崗位檢查等。(3)安全管理制度審計。(4)系統(tǒng)運維安全管理審計。01運行安全控制審計運行安全控制的風險(1)人員錄用時未簽署保密協(xié)議，或所簽署的保密協(xié)議內(nèi)容過于簡單，保密義務未包含技術保密、管理制度保密和發(fā)展規(guī)劃保密等條款，或未包含保密期限、違約責任、競業(yè)協(xié)議和離職協(xié)議等內(nèi)容。(2)人員離職后系統(tǒng)賬號未及時收回，造成信息泄露的風險。(3)人員缺乏信息安全培訓，造成系統(tǒng)操作錯誤或信息泄露的風險。(4)外部人員訪問系統(tǒng)缺乏審批手續(xù)，造成信息泄露的風險。(5)安全管理制度未指定或安全管理崗位職責未明確，在權責不清的管理環(huán)境下可能引發(fā)嚴重信息安全后果。01運行安全控制審計運行安全控制的風險(5)安全管理制度未指定或安全管理崗位職責未明確，在權責不清的管理環(huán)境下可能引發(fā)嚴重信息安全后果。(6)安全補丁和漏洞更新不及時，一旦被惡意人員利用，可能直接威脅系統(tǒng)安全性，甚至導致敏感信息外泄或系統(tǒng)中斷。(7)主機、網(wǎng)絡設備或系統(tǒng)的補丁及漏洞在升級前，未制定有效的測試規(guī)范和流程，或系統(tǒng)重要數(shù)據(jù)未執(zhí)行備份，一旦系統(tǒng)更新失敗，可能對系統(tǒng)可用性和業(yè)務穩(wěn)定性產(chǎn)生較大影響。(8)未建立存儲介質的安全管理制度，無法有效落實介質的登記、存放、使用、流轉、維護、盤點、檢查與銷毀等環(huán)節(jié)的各項安全要求。(9)密碼技術和產(chǎn)品應用不符合國家安全規(guī)范，密碼算法過于簡單，一旦密碼被暴力破解，可能導致數(shù)據(jù)在傳輸和存儲等過程的完整性和機密性遭到破壞。01運行安全控制審計運行安全控制審計的主要方法和程序運行安全控制審計的主要方法和程序如表7-8所示。災難恢復計劃審計0801災難恢復計劃審計信息系統(tǒng)災難恢復工作的主要內(nèi)容(1)災難方案設計須考慮的因素。(2)項目啟動和管理。確定業(yè)務連續(xù)性計劃過程的需求，包括獲得管理層支持、確保項目符合被審計單位整體發(fā)展規(guī)劃和預算的要求。(3)風險評估和控制。確定可能造成機構及其設施中斷和出現(xiàn)災難、具有負面影響的事件和周邊環(huán)境因素，以及事件可能造成的損失、防止或減少潛在損失影響的控制措施。提供成本效益分析以調(diào)整控制措施方面的投資，達到降低風險的目的。01災難恢復計劃審計信息系統(tǒng)災難恢復工作的主要內(nèi)容(4)災難應急測試。通常是由被審計單位風控部負責的，最好的測試是在生產(chǎn)業(yè)務環(huán)境中，并且是在擁有同等規(guī)模業(yè)務量的情況下完成的。(5)及時更新。當控制環(huán)境發(fā)生變化時，災難恢復計劃必須隨之改變，以保證計劃的時效性。(6)后續(xù)總結。當發(fā)生災難并啟動災難恢復程序后，內(nèi)審部門聯(lián)合風控部門應進行后續(xù)調(diào)查，找出在恢復過程中存在的問題，并做出相關災難與恢復調(diào)查總結報告，經(jīng)部門管理層審批后報送至高級管理層、董事會，審核后作為下一期災難恢復計劃的制訂依據(jù)。01災難恢復計劃審計信息系統(tǒng)災難恢復工作的主要內(nèi)容(7)業(yè)務影響分析。確定由于中斷和預期災難可能對機構造成的影響以及用來定量和定性分析這種影響的技術。確定關鍵功能、確定其恢復優(yōu)先順序和相關性以便確定恢復時間目標。(8)制定業(yè)務連續(xù)性策略。確定和指導備用業(yè)務恢復運行策略的選擇，以便在恢復時間目標范圍內(nèi)恢復業(yè)務和信息技術，并維持機構的關鍵功能。(9)應急響應和運作。制定和實施用于事件響應以及穩(wěn)定事件所引起狀況的規(guī)程，包括建立和管理緊急事件運作中心，該中心用于在緊急事件中發(fā)布命令。(10)制訂和實施業(yè)務連續(xù)性計劃。設計、制訂和實施業(yè)務連續(xù)性計劃以便在恢復時間目標范圍內(nèi)完成恢復。01災難恢復計劃審計信息系統(tǒng)災難恢復工作的主要內(nèi)容(11)意識培養(yǎng)和培訓項目。準備建立對機構人員進行意識培養(yǎng)和技能培訓的項目，以便業(yè)務連續(xù)性計劃能夠得到制訂、實施、維護和執(zhí)行。(12)維護和演練業(yè)務連續(xù)性計劃。對預先計劃和計劃間的協(xié)調(diào)性進行演練，并評估和記錄計劃演練的結果。制定維持連續(xù)性能力和業(yè)務連續(xù)性計劃文檔更新狀態(tài)的方法，使其與機構的策略方向保持一致。通過與適當標準的比較來驗證業(yè)務連續(xù)性計劃的效率，并使用簡明的語言報告驗證的結果。01災難恢復計劃審計信息系統(tǒng)災難恢復工作的主要內(nèi)容(13)公共關系和危機通信。制訂、協(xié)調(diào)、評價和演練在危機情況下與媒體交流的計劃。制訂、協(xié)調(diào)、評價和演練與員工及其家庭、主要客戶、關鍵供應商、業(yè)主/股東以及機構管理層進行溝通和在必要情況下提供心理輔導的計劃，確保所有利益群體能夠得到所需的信息。(14)與公共當局的協(xié)調(diào)。建立適用的規(guī)程和策略用于同地方當局協(xié)調(diào)響應、連續(xù)性和恢復活動，以確保符合現(xiàn)行的法令和法規(guī)。01運行安全控制審計災難恢復計劃審計的目標災難恢復計劃審計的目標是：確認災難恢復計劃的真實性、可行性、合規(guī)性。災難恢復計劃審計的內(nèi)容信息系統(tǒng)審計人員應評估被審計單位是否建立健全了信息系統(tǒng)應對突發(fā)事件的應急響應措施，是否制定了完備的策略和具體的實現(xiàn)目標，是否具備一定的危險判