论述现在信息系统审计管理新发展管理措施及意义

　　审计的管理及制度一直都是估测企业是否是正常的经济发展模式，并且审计师由国家授权管理建设的管理部门。同时审计在监督方面也是有对企业经济管理发展中起到很好的发展措施。信息系统安全防范工作已经成为信息时代的主要问题，对信息系统开展安全审计已经成为审计机关保护国家财政财务安全。

　　摘要：信息系统审计需要做那些事情才能有效控制资产安全呢?我们要从以下几个方面着手：1.对系统基础设施及环境的审计。审计范畴为：硬件环境与防灾、主机硬件安全、底层支撑系统安全、通信线路安全、数据存储/IO安全、物理访问控制。2.网络安全审计。

　　审计论文推荐：《中国内部审计》自1999年创办以来，积极宣传党和国家有关内部审计的方针、政策和法规，诠释中国内部审计协会发布的内部审计准则，阐释中国内部审计协会提出的指导内部审计工作的意见;介绍一线内部审计机构及人员开展内部审计工作的成功经验、做法及技术技巧;宣传内部审计先进单位和先进个人的优秀事迹;揭示内部审计实际工作存在的问题并探讨解决问题的方法和途径;展示国内外内部审计理论最新研究成果及内部审计人员充满活力的实践探索;交流领导重视内部审计、发挥内部审计作用的认识、经验、做法;及时准确传输国内外内部审计最新动态及IIA和CIA资格考试的信息。同时，注重知识性和可读性，以开拓读者视野、提高读者素养。

　　关键词：信息系统,系统审计,审计模式

　　伴随着科技进步和企业管理理念的发展，以计算机技术、通信技术以及网络技术为主要内容的信息技术在社会各行业的管理中正发挥着越来越重要的作用。无论是企事业单位，还是政府公共服务机构，都越来越依赖于信息系统。信息系统的可靠性、有效性和效率性影响着组织的正常运转。

　　与此同时，对信息系统审计的研究和实践也正不断发生着变化。从计算机辅助审计到面向系统数据的审计，再到对应用系统的审计，信息系统的审计范围和领域不断扩大。目前，对信息系统审计的认识受到较多传统审计的影响，不少研究人员认为信息系统条审计是传统审计的补充和延伸，是为传统审计提供支撑和服务的。但笔者认为，信息系统审计有其自身的特点，是审计的新领域，对信息系统审计的认识和研究要从企业整体风险控制、价值实现以及整个审计体系的角度来重新认识。

　　一、信息系统审计的内容

　　从信息系统在组织中所处地位以及信息系统的开发、运行和维护过程分析，信息系统审计应包括对IT治理结构审计等9个方面的主要内容。

　　1.对IT治理结构与实施的审计。信息技术过去被认为仅仅是企业组织战略的强化器，而现在被认为是组织战略的重要组成部分，越来越受到管理层的关注。通过有效使用安全、可靠的信息和适用的技术，IT治理有助于企业获得成功。因此，在对信息系统审计中，审计人员应首先关注组织的IT治理机构，判断组织是否做到了IT与业务的融合，并保持目标一致。

　　应用控制审计是直接针对业务系统根据用户反馈、用例测试结果、实际业务数据、代码分析结果发现系统风险及其对业务的直接影响。2.输入输出控制审计：输入控制审计要点：CONTROL TOTALS、多点录入、终端访问控制、Session窗口控制。输出控制审计要点：访问控制、缓冲区安全、派发路径安全。3.数据审计。通过直接获取数据库数据，对实体完整性、用户定义完整性、参照完整性、域完整性的验证，来确认信息应用系统设计和获取的完整性。　　2.对系统开发过程的审计。传统的系统开发生命周期法(SDLC)仍是目前大多数系统开发的首选方式。审计人员的职责是参与全过程的监督和评价。

　　3.对系统和运行的审计。信息系统的运行承担了计算机系统软件、硬件的日常支持工作。

　　系统合规性的主要审计内容就是进行代码审计辅以数据审计，简单的说就是审计代码规范性，代码安全性(例如，在对某商业银行进行审计过程中发现，由于代码员的经验问题，在撰写计算还款利息时的公式时发生错误，导致每笔还款利息多计算1分钱)，关键处理流程正确性(此处旨在检查业务逻辑是否符合相关的法律法规以及规章制度)，后门、调试与逻辑炸弹，以此来保证系统的正确性和合规性。

　　4.对应用控制的审计。审计人员应通过对重要应用程序组件和贯穿系统的事务流的识别，审核系统中的事务进入点、处理点和输出点，以发现控制弱点。一般可以通过审核用户活动报告和违例报告，以及通过平行作业、整体测试等方法来实现对应用控制的审计。

　　5.对系统安全策略的审计。随着组织对信息系统的依赖性越来越强，信息安全问题正变得日益突出，信息资产比传统资产更容易受到损害。一般而言，为了有效保护信息资产，组织需要建立信息安全管理的一些要素，关键的有：高级管理层的承诺与支持、信息安全政策与程序、组织、安全意识与教育、监督与符合性审核、应急处理与响应。

　　6.对逻辑访问控制的审计。逻辑访问控制是通过一定的技术方法去控制用户可以利用什么样的信息，可以运行什么样的程序，可以修改什么样的数据。这些控制可以内置在操作系统中，通过单独的访问控制软件进行调用;也可以内置在应用系统、数据库系统和网络控制设施(实时性能监测)中。

　　7.对物理访问控制的审计。物理访问的暴露可能使企业的业务资源面临非授权访问，导致组织受损。组织一般通过使用胸牌、内存卡、门锁、生物测定设备等限制人员进出机房和数据中心等敏感区域。

　　8.对环境控制的审计。环境风险可能来自自然灾害，还可能来自电力故障、设备故障、温度、湿度、静电、恐怖袭击等方面。

　　9.业务连续性计划的审计。业务连续性计划(BCP)是组织为避免关键业务功能中断，减少业务风险而建立的一个控制过程。一般包括对支持组织关键功能的人力、物力需求和关键功能所需的最小级别服务水平的连续性保证。BCP的目标就是要把组织的剩余风险和因意外事件产生的风险降到组织可接受的程度。BCP主要包括灾难恢复计划、作业计划和重建计划。

　　二、信息系统审计的策略

　　1.评估现有审计人员的专业胜任能力，补充完善审计人力资源。“知己知彼”才能有效开展审计项目。前面着重阐述的是审计对象，是“彼”，面对新的审计领域，审计人员自身也需要客观审视“己”的专业胜任能力。目前，我国内审人员绝大多数来自财务和审计专业，从事IT开发和管理的人员凤毛麟角，接受过信息系统审计培训的人员也极少。从9个方面的审计内容看，仅在对IT治理结构和实施以及环境控制审计两个方面，目前的审计人员能够基本胜任，其余7个方面都不能完全胜任。这是开展信息系统审计的最大障碍，因此，尽快补充新的审计人力资源是当务之急。

　　补充完善审计人力资源的途径有两个：一是直接招聘有信息系统背景的审计人员;二是签订信息系统审计业务外包协议。两种途径各有利弊，审计部门负责人可以视具体情况灵活掌握。

　　2.对现有信息系统的再认识。信息系统是个大系统、大概念，其中包含了众多小的应用系统。以某市通信公司为例，该公司除了使用了上级统一开发的MSS、CRM、综合营帐系统和物资管理系统等之外，又结合自身管理需要陆续开发了增值业务系统、中间渠道管理系统等20多个小型管理应用系统。

　　要对如此庞杂的系统进行审计，审计人员须要对整个信息系统进行有效的归类整理，划清生产系统、管理系统和支撑系统等的界限，分析系统与系统之间的相互联系，识别核心系统与非核心系统，为下一步具体实施审计奠定良好的基础。

　　3.制定信息系统审计的长期规划。信息系统审计的内容繁杂，专业技术性强，有效实施审计不可能“全面开花”，一蹴而就。制定长期规划十分必要。与其他长期规划制定工作类似，信息系统审计的长期规划要与组织的价值目标相一致，需要明确审计的最终目的和任务。规划时间一般为5年，规划期内各年的主要任务和重点工作清楚，并对完成规划所需的人力资源、物质资源等有科学的测算。

　　4.确定中短期审计目标和重点审计领域。中短期审计目标就是将长期规划具体化，主要明确今后2到3年内的具体审计项目。这些项目的确定需要注意以下几个原则：

　　(1)与组织中短期的经营管理目标一致。

　　(2)符合长期规划的步骤。

　　(3)内容具体，可操作性强。

　　(4)有相应的考核评价体系。

　　同时，在具体实施中短期审计计划过程中，要注意量力而行，对暂时不能完成的长期规划任务，要及时反馈，适时修订。

　　5.协调好自审与业务外包的关系。考虑到人力资源成本、管理专业化以及人类认知的固有局限性，目前国际上通行的信息系统审计方式是采用审计人员与外聘专家共同工作的方式。彼此发挥自身优势，取长补短。笔者认为，在信息系统审计中，一般不宜采取完全外包的方式，这不利于审计人员专业素质的提升，也不利于组织信息安全管理。通常，在信息系统审计开展的初期，外包审计的范围可稍大一些，之后，应逐步降低，并保持在适当的比例水平。

　　日志审计：目的是收集日志，通过SNMP、SYSLOG、OPSEC或者其他的日志接口从各种网络设备、服务器、用户电脑、数据库、应用系统和网络安全设备中收集日志，进行统一管理、分析和报警。

　　主机审计：通过在服务器、用户电脑或其他审计对象中安装客户端的方式来进行审计，可达到审计安全漏洞、审计合法和非法或入侵操作、监控上网行为和内容以及向外拷贝文件行为、监控用户非工作行为等目的。

　　网络审计：通过旁路和串接的方式实现对网络数据包的捕获，而且进行协议分析和还原，可达到审计服务器、用户电脑、数据库、应用系统的审计安全漏洞、合法和非法或入侵操作、监控上网行为和内容、监控用户非工作行为等目的。

　　6.建立良好的沟通渠道。同传统审计一样，“沟通”在信息系统审计中也显得十分重要。良好的外部沟通有利于审计人员更为全面地认识信息系统的内在控制过程，有利于审计目标与管理目标的结合，有利于审计结果的落实和执行。

期刊VIP网，您身边的高端学术顾问

文章名称： 论述现在信息系统审计管理新发展管理措施及意义

文章地址： http://www.qikanvip.com/jingjiqikan/shenji/31324.html