一般控制纲要信息系统审计概论

《一般控制纲要信息系统审计概论》由会员分享，可在线阅读，更多相关《一般控制纲要信息系统审计概论（76页珍藏版）》请在装配图网上搜索。

1、一般控制纲要信息系统审计概论第3章 IS一般控制及审计一般控制纲要信息系统审计概论纲要信息系统审计概论信息系统审计概论IT治理治理信息系统一般控制及审计信息系统一般控制及审计信息系统应用控制及审计信息系统应用控制及审计2一般控制纲要信息系统审计概论1.信息系统一般控制概述南京审计学院南京审计学院一般控制纲要信息系统审计概论信息系统内部控制 信息系统内部控制：信息系统内部控制：一个单位在信息系统环境下，为了保证一个单位在信息系统环境下，为了保证业务活动的有效进行，保护资产的安全业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊，与完整，防止、发现、纠正错误与舞弊，确保信息系统提

2、供信息的真实、合法、确保信息系统提供信息的真实、合法、完整，而制定和实施的一系列政策与程完整，而制定和实施的一系列政策与程序措施序措施。4一般控制纲要信息系统审计概论物理环境物理环境通信平台通信平台软件平台软件平台硬件平台硬件平台网络平台网络平台应用平台应用平台 管管 理理 维维 护护 部部 门门 、人人 员员 、管管 理理 l 物理环境（场地、机房等）物理环境（场地、机房等）l 系统硬件系统硬件l 系统软件（操作系统、数据库管理系统等）系统软件（操作系统、数据库管理系统等）l 网络和通信网络和通信l 应用程序应用程序l 与信息系统的建立、运行维护、管理和业务处理有关与信息系统的建立、运行维护

3、、管理和业务处理有关的部门、人员和活动等。的部门、人员和活动等。信息系统内部控制的对象5一般控制纲要信息系统审计概论 从信息系统对象范围角度分从信息系统对象范围角度分为：为：一般控制一般控制对信息系统环境的控制对信息系统环境的控制 应用控制应用控制对应用程序的控制对应用程序的控制信息系统内部控制的分类信息系统内部控制的分类GeneralControlIT PlanningSystem OperationsProgrammingVendor managementApplicationDatabaseOperating SystemsNetwork/PhysicalIT ControlTechni

4、cal Layer Application CtlIT Mgmt6一般控制纲要信息系统审计概论ITIT控制的分类控制的分类 依据控制的预定依据控制的预定意图分为：意图分为：预防性控制预防性控制（事前控制）（事前控制）检查性控制检查性控制（事中控制）（事中控制）纠正性控制纠正性控制（事后控制）（事后控制）依据控制的领域依据控制的领域分为：分为：治理控制治理控制 管理控制管理控制 技术控制技术控制7一般控制纲要信息系统审计概论信息系统一般控制 范围：应用于一个单位信息系统全部或范围：应用于一个单位信息系统全部或较大范围的内部控制较大范围的内部控制。对象：应为除信息系统应用程序以外的对象：应为除信息

5、系统应用程序以外的其他部分。其他部分。基本目标：基本目标：保证数据安全、保护计算机应用程序、保证数据安全、保护计算机应用程序、防止系统被非法侵入、保证在意外情况防止系统被非法侵入、保证在意外情况下的持续运行等。下的持续运行等。8一般控制纲要信息系统审计概论信息系统一般控制 一般控制的测评内容：一般控制的测评内容：单位整体范围安全计划和管理、应用软件开发单位整体范围安全计划和管理、应用软件开发和变更控制、系统软件控制、职能分离控制、和变更控制、系统软件控制、职能分离控制、访问控制、服务持续性控制。访问控制、服务持续性控制。一般控制主要涉及：一般控制主要涉及：管理控制（包括部门管理、人员管理等）管

6、理控制（包括部门管理、人员管理等）系统基础设施控制（包括物理环境、系统硬系统基础设施控制（包括物理环境、系统硬件、系统软件等）件、系统软件等）系统访问控制（包括系统通信控制等）系统访问控制（包括系统通信控制等）系统网络架构控制；系统网络架构控制；灾难恢复控制（即服务持续性控制）灾难恢复控制（即服务持续性控制）9一般控制纲要信息系统审计概论IS一般控制与应用控制的关系 良好的一般控制是应用控制的基础良好的一般控制是应用控制的基础。如果一般控制审计结果很差，应用控制审计如果一般控制审计结果很差，应用控制审计就没有进行的必要。就没有进行的必要。10一般控制纲要信息系统审计概论2.管理控制及其审计南京

7、审计学院南京审计学院一般控制纲要信息系统审计概论安全管理控制 ISIS的安全管理控制的安全管理控制从管理、技术、人员、过程的角度来定从管理、技术、人员、过程的角度来定义、建立、实施信息安全管理体系，通义、建立、实施信息安全管理体系，通过维护信息的机密性、完整性和可用性，过维护信息的机密性、完整性和可用性，来管理和保护组织所有的信息资产。来管理和保护组织所有的信息资产。主要目标：实现职责分离和人员管理。主要目标：实现职责分离和人员管理。12一般控制纲要信息系统审计概论基于风险有哪些现象有哪些现象/信号表明信号表明ISIS在管理控制方面有潜在在管理控制方面有潜在风险？风险？13一般控制纲要信息系统

8、审计概论职责分离 目的：保证不同的人员承担不同的职责，目的：保证不同的人员承担不同的职责，人员之间可以互相监督和检查，从而防人员之间可以互相监督和检查，从而防止错误和舞弊。止错误和舞弊。原则：在分工协作的基础上明确各部门、原则：在分工协作的基础上明确各部门、人员的权限与责任。人员的权限与责任。14一般控制纲要信息系统审计概论职责分离 职责的分离：职责的分离：信息系统部门与业务部门的职责相分离信息系统部门与业务部门的职责相分离信息系统部门与业务部门内部的职责相分信息系统部门与业务部门内部的职责相分离离交易的授权与交易的执行相分离交易的授权与交易的执行相分离资产的保管与记录相分离资产的保管与记录相

9、分离15一般控制纲要信息系统审计概论职责分离16一般控制纲要信息系统审计概论职责分离 假如职责分工不清或不当，将会出现：假如职责分工不清或不当，将会出现：资产的错置或损失资产的错置或损失错误的财务报告错误的财务报告不正确的财务文档不正确的财务文档/记录记录未被发现的资金挪用和删改有关数据未被发现的资金挪用和删改有关数据17一般控制纲要信息系统审计概论人员管理 对象：对象：人员人员人员工作的整个过程人员工作的整个过程 招聘（背景调查、保密协议、员工担保、竞业协招聘（背景调查、保密协议、员工担保、竞业协议）议）工作分配（员工手册、晋升政策、员工绩效评估、工作分配（员工手册、晋升政策、员工绩效评估、

10、强制休假）强制休假）培训（定期培训、交叉培训）培训（定期培训、交叉培训）离岗和离职（离职程序）离岗和离职（离职程序）18一般控制纲要信息系统审计概论管理控制审计1.1.审计书面策略、流程与标准审计书面策略、流程与标准主要审计内容：是否存在？是否恰当？主要审计内容：是否存在？是否恰当？2.2.审计逻辑访问安全策略审计逻辑访问安全策略原则：知所必需原则：知所必需主要审计内容：是否存在漏洞、风险？主要审计内容：是否存在漏洞、风险？3.3.审计安全意识的培训审计安全意识的培训主要审计内容：是否存在？意识如何？主要审计内容：是否存在？意识如何？审计方式：抽查测试审计方式：抽查测试19一般控制纲要信息系统

11、审计概论管理控制审计4.4.审查数据所有权、所有人和使用者审查数据所有权、所有人和使用者主要审计内容：分工是否明确；责任是否明主要审计内容：分工是否明确；责任是否明确和落实；权利和责任是否对称；是否存在确和落实；权利和责任是否对称；是否存在书面的制度和管理控制程序。书面的制度和管理控制程序。5.5.审查数据保管员审查数据保管员 主要审计内容：职责分离；保管措施等。主要审计内容：职责分离；保管措施等。6.6.审查安全管理员审查安全管理员主要审计内容：信息安全管理策略；物理主要审计内容：信息安全管理策略；物理和逻辑安全管理措施。和逻辑安全管理措施。20一般控制纲要信息系统审计概论管理控制审计7.7

12、.审查书面授权审查书面授权主要审计内容：授权存在性、充分性、合主要审计内容：授权存在性、充分性、合理性和有效性。理性和有效性。8.8.审查离职员工的访问控制审查离职员工的访问控制主要审计内容：物理接触；访问权限。主要审计内容：物理接触；访问权限。9.9.审查访问标准审查访问标准安全标准一般包括：账号与密码标准、特安全标准一般包括：账号与密码标准、特定机器使用规则、特定应用系统访问规则定机器使用规则、特定应用系统访问规则等。等。主要审计内容：安全标准的存在性、主要审计内容：安全标准的存在性、符合性。符合性。21一般控制纲要信息系统审计概论管理控制测试 从系统审计角度来说，测试分为：从系统审计角度

13、来说，测试分为：符合性测试符合性测试实质性测试实质性测试 测试手段：测试手段：检查文档检查文档问卷调查问卷调查会谈会谈观察观察22对对IS一般控制的测试是检一般控制的测试是检查相关控制的存在性和有查相关控制的存在性和有效性，属于符合性测试。效性，属于符合性测试。安全政策文档安全政策文档 组织组织/职能图职能图 工作描述工作描述 系统开发和程序变更流程系统开发和程序变更流程 操作程序操作程序 人力资源手册人力资源手册一般控制纲要信息系统审计概论管理控制测试 工具：控制测试矩阵工具：控制测试矩阵 步骤：步骤：1、依据管理控制内容，编制控制测试矩阵、依据管理控制内容，编制控制测试矩阵2、进行控制测试

14、；、进行控制测试；3、完成控制测试矩阵；、完成控制测试矩阵；4、评价。、评价。23矩阵的组成：控制目标 控制措施 单元内容一般控制纲要信息系统审计概论管理控制测试矩阵NO.控制措施控制措施职责分离职责分离人员管控人员管控备注备注1是否制定了职责分离的规章制度2业务人员的工作职责明确清晰3IT部门只负责IS的开发和维护4IT人员未经批准不得接触备份数据5输入人员与复核人员不能相互兼任6操作人员不保管除操作手册之外的文档7操作人员不管理系统产生的重要档案8聘用人员与工作岗位是否相符9接触秘密数据的工作人员签订保密协议10对关键性业务配备了后备人员11定期对工作人员的工作进行考核12定期对信息系统人

15、员进行培训13关键技术由多人掌握14人员离岗，IS中帐号和口令及时删除15人员离岗，及时归还所有书、文档报告一般控制纲要信息系统审计概论管理控制 有哪些现象有哪些现象/信号表明信号表明ISIS在管理控制方在管理控制方面有潜在风险？面有潜在风险？u未经授权的软硬件采购未经授权的软硬件采购uITIT部门能对部门能对ISIS进行业务操作进行业务操作u数据录入与复核由同一人负责数据录入与复核由同一人负责u操作人员管理设计文档操作人员管理设计文档uu较高的员工离职率较高的员工离职率u缺乏经验的员工缺乏经验的员工u依赖一到两个关键员工依赖一到两个关键员工u25一般控制纲要信息系统审计概论3.系统基础设施控

16、制及其审计一般控制纲要信息系统审计概论系统基础设施控制及审计 系统基础设施：保障系统基础设施：保障ISIS工作所必需的设工作所必需的设施与条件施与条件 控制目的：保障信息系统安全、可靠的控制目的：保障信息系统安全、可靠的运行。运行。重点：重点：ISIS环境环境ISIS硬件硬件系统软件系统软件27一般控制纲要信息系统审计概论IS环境控制 环境风险：环境风险：自然灾害风险自然灾害风险环境故障风险：电力故障、设备故障、温度、湿度、环境故障风险：电力故障、设备故障、温度、湿度、静电、接地、恐怖袭击等。静电、接地、恐怖袭击等。控制目标：控制目标：杜绝信息系统运行环境中影响信息系统正常杜绝信息系统运行环境

17、中影响信息系统正常、可靠运行的安全隐患，保护信息系统中的、可靠运行的安全隐患，保护信息系统中的各种资源免受毁坏、替换、盗窃和丢失的威各种资源免受毁坏、替换、盗窃和丢失的威胁。胁。28一般控制纲要信息系统审计概论IS环境控制 物理位置物理位置 远离地下室、蓄水池化工厂、加油站、储气远离地下室、蓄水池化工厂、加油站、储气站、机场等。站、机场等。报警控制面板报警控制面板 水灾控制水灾控制水灾探测器水灾探测器 火灾控制火灾控制办公设施具备防火能力办公设施具备防火能力火灾警报器和灭火系统火灾警报器和灭火系统定期检测消防设施定期检测消防设施29一般控制纲要信息系统审计概论IS环境控制 电力供应相关风险的控

18、制电力供应相关风险的控制 电力中断控制：保护器、电力中断控制：保护器、UPS、后备发电机、后备发电机供电供电 电源线中断控制：备份电力系统电源线中断控制：备份电力系统 切断电源控制：机房内、外紧急断电装置切断电源控制：机房内、外紧急断电装置 防潮、防尘的控制防潮、防尘的控制 其他相关控制其他相关控制 如：信息处理场所设置警示标语、建立程序如：信息处理场所设置警示标语、建立程序控制关机等。控制关机等。30一般控制纲要信息系统审计概论IS硬件控制与审计内容内容步骤步骤控制与审计控制与审计采购采购1.1.招标（招标书招标（招标书/请求建请求建议书）；议书）；2.2.供应商投标；供应商投标；3.3.评

19、标；评标；4.4.签合同。签合同。1.1.审查硬件获取计划（需求、指审查硬件获取计划（需求、指标、因素等）；标、因素等）；2.2.审查硬件获取标准；审查硬件获取标准；3.3.审查评标过程。审查评标过程。维护维护 与与监控监控1.1.制定维护计划制定维护计划/性能监性能监控计划；控计划；2.2.实施维护与监控。实施维护与监控。1.1.审查维护计划审查维护计划/性能监控计划性能监控计划，及其批准情况；，及其批准情况；2.2.审查监控记录（硬件错误报告审查监控记录（硬件错误报告、可用性报告、利用率报告）；、可用性报告、利用率报告）；3.3.审查硬件变更控制程序。审查硬件变更控制程序。能力能力管理管理

20、1.1.用户和用户和ISIS管理部门共同管理部门共同制定能力计划；制定能力计划；2.2.硬件能力管理程序和性硬件能力管理程序和性能评估程序。能评估程序。1.1.定期审查和修改能力计划；定期审查和修改能力计划；2.2.审查硬件能力管理程序和性能审查硬件能力管理程序和性能评估程序。评估程序。31审计方法：检查文档，也可采用会谈法、观察法。审计方法：检查文档，也可采用会谈法、观察法。一般控制纲要信息系统审计概论系统软件控制系统软件控制系统软件有哪些风险点？系统软件有哪些风险点？采购环节：采购环节：获取与实施、版权与许可、质量与服务获取与实施、版权与许可、质量与服务 使用环节：使用环节：变更、病毒、数

21、据库、文档变更、病毒、数据库、文档32一般控制纲要信息系统审计概论系统软件控制内容内容步骤步骤控制与审计控制与审计获取与获取与实施实施1.1.招标；招标；2.2.评标；评标；3.3.实施：配置与测试、获得认实施：配置与测试、获得认证和使用授权证和使用授权1.1.审查系统软件版本控制、计划控制；审查系统软件版本控制、计划控制；2.2.审查系统软件获取可行性研究和选择流程，审查系统软件获取可行性研究和选择流程，注意成本效益分析、业务和技术因素；注意成本效益分析、业务和技术因素；3.3.审计实施控制（测试、认证和使用授权）。审计实施控制（测试、认证和使用授权）。变更控变更控制制变更控制程序：请求、评

22、估、变更控制程序：请求、评估、授权、通告、实施、测试授权、通告、实施、测试1.1.审计变更控制程序；审计变更控制程序；2.2.审查变更控制记录。审查变更控制记录。版权与版权与许可许可建立标准的计算机桌面环境和建立标准的计算机桌面环境和软件许可策略软件许可策略1.1.审查软件使用和复制的授权文档审查软件使用和复制的授权文档2.2.审查系统软件列表；审查系统软件列表；3.3.审查软件安装控制机制等。审查软件安装控制机制等。OSOS控制控制参数参数在操作系统中设置和修改参数在操作系统中设置和修改参数和选项和选项1.1.检查参数（用户检查参数（用户/组、组策略、注册表等）；组、组策略、注册表等）；2.

23、2.查看日志文件、系统文件。查看日志文件、系统文件。DBDB安全安全存取管理、安全管理、存取管理、安全管理、DBDB加密加密审核审核DBDB的设计、访问、管理、接口和可移植性的设计、访问、管理、接口和可移植性计算机计算机病毒病毒1.1.建立管理策略与程序；建立管理策略与程序；2.2.采用防病毒技术（硬件、软采用防病毒技术（硬件、软件）。件）。1.1.审查管理策略与程序审查管理策略与程序2.2.检查所有计算机都安装防病毒软件，并及时检查所有计算机都安装防病毒软件，并及时更新更新一般控制纲要信息系统审计概论对系统软件控制的审计对系统软件控制的审计测试区域：测试区域：采购程序、变更程序、版权与许可控

24、制采购程序、变更程序、版权与许可控制、授权程序、访问安全控制、文档规范、授权程序、访问安全控制、文档规范化控制、系统测试控制、对生产环境的化控制、系统测试控制、对生产环境的访问控制、数据库控制以及相应的审计访问控制、数据库控制以及相应的审计轨迹。轨迹。34一般控制纲要信息系统审计概论对系统软件控制的审计对系统软件控制的审计检查系统软件选择程序检查系统软件选择程序审计内容：是否符合审计内容：是否符合IS计划和业务计划要求；是否适计划和业务计划要求；是否适应对应对IS的处理和控制要求；是否满足的处理和控制要求；是否满足IS业务需求等业务需求等审查系统软件获取可行性研究和选择流程审查系统软件获取可行

25、性研究和选择流程审计内容：确定建议的系统目标和目的与招标书审计内容：确定建议的系统目标和目的与招标书/请请求建议书一致，并使用了相同的选择标准。求建议书一致，并使用了相同的选择标准。审计系统软件采购、实施审计系统软件采购、实施审计内容：确认系统软件采购的成本控制、安装控制审计内容：确认系统软件采购的成本控制、安装控制、维护与变更控制、安全控制、维护与变更控制、安全控制审计系统文档审计系统文档审计内容：安装控制文件、系统参数表、系统日志。审计内容：安装控制文件、系统参数表、系统日志。审计系统授权文档审计系统授权文档审计内容：对系统访问授权的增、删、改是否进行记审计内容：对系统访问授权的增、删、改

26、是否进行记录，是否保存试图越权情形的处理报告的记录。录，是否保存试图越权情形的处理报告的记录。35一般控制纲要信息系统审计概论对系统软件控制的审计对系统软件控制的审计审计数据库控制审计数据库控制设计设计了解使用的数据库模型，使用图表详细描述业务规了解使用的数据库模型，使用图表详细描述业务规则，确认实体则，确认实体-关系模型与数据库物理模式相一致关系模型与数据库物理模式相一致 访问访问对数据库、存储程序和触发器的访问控制是否适当对数据库、存储程序和触发器的访问控制是否适当，索引的使用是否最大限度地减少访问时间，索引的使用是否最大限度地减少访问时间 管理管理检查所有用户的安全级别和角色，所有用户或

27、用户检查所有用户的安全级别和角色，所有用户或用户组的访问权限被适当复核，存在备份和灾难恢复机组的访问权限被适当复核，存在备份和灾难恢复机制确保数据库的可靠性和可用性，存在并发访问控制确保数据库的可靠性和可用性，存在并发访问控制机制和程序确保处理过程的一致性和完整性。制机制和程序确保处理过程的一致性和完整性。接口接口验证数据库与系统接口，审查数据导入导出程序验证数据库与系统接口，审查数据导入导出程序36一般控制纲要信息系统审计概论练习37 分组讨论：分组讨论：编制编制 机房环境控制测试检查表机房环境控制测试检查表 讨论讨论 机房环境控制审计结果机房环境控制审计结果 查看计算机的操作系统配置、安全

28、防护措施。查看计算机的操作系统配置、安全防护措施。一般控制纲要信息系统审计概论4.系统访问控制及其审计南京审计学院南京审计学院一般控制纲要信息系统审计概论系统访问控制及其审计 系统访问：通过某种途径允许或限制对网络资系统访问：通过某种途径允许或限制对网络资源（软件和硬件）和数据（存储的和通信的）源（软件和硬件）和数据（存储的和通信的）的访问能力及范围。的访问能力及范围。访问控制目标主要有访问控制目标主要有：防止非法主体进入受保护的网络资源；防止非法主体进入受保护的网络资源；允许合法用户进入受保护的网络资源；允许合法用户进入受保护的网络资源；防止合法用户对受保护的网络资源的非授权访问防止合法用户

29、对受保护的网络资源的非授权访问 系统访问方式系统访问方式逻辑访问：逻辑访问：用户通过软件方式对系统访问用户通过软件方式对系统访问。物理访问：物理访问：用户通过物理接触等方式对系统访问用户通过物理接触等方式对系统访问。39一般控制纲要信息系统审计概论系统访问控制及其审计 系统访问控制系统访问控制逻辑访问控制逻辑访问控制通过一定的技术方法控制用户可以利用什么样的信通过一定的技术方法控制用户可以利用什么样的信息，可以运行什么程序与事务，可以修改什么信息息，可以运行什么程序与事务，可以修改什么信息与数据。与数据。物理访问控制物理访问控制限制人员进出敏感区域。限制人员进出敏感区域。系统访问权限设置原则：

30、系统访问权限设置原则：最小授权原则（最小授权原则（Least-Privilege）职责分离原则（职责分离原则（Segregation of Duty）40一般控制纲要信息系统审计概论逻辑访问控制 逻辑访问风险有哪些？逻辑访问风险有哪些？技术性暴露风险技术性暴露风险计算机犯罪计算机犯罪 如何控制逻辑访问风险？如何控制逻辑访问风险？逻辑访问路径逻辑访问路径网络连接：终端设备网络连接：终端设备/计算机通过通信网络与主计计算机通过通信网络与主计算机相连而获得访问能力。算机相连而获得访问能力。控制方法：身份识别与验证，网络管理设备控制参数配置控制方法：身份识别与验证，网络管理设备控制参数配置远程访问：利

31、用电话线、远程终端设备远程访问：利用电话线、远程终端设备/计算机进计算机进入入ISIS。控制方法：身份识别与验证。控制方法：身份识别与验证。41一般控制纲要信息系统审计概论逻辑访问控制 身份识别与验证身份识别与验证“只有你知道的事情只有你知道的事情”账号与口令账号与口令 账号的控制账号的控制 口令的控制口令的控制“只有你拥有的东西只有你拥有的东西”令牌设备令牌设备 发送许可权的特殊消息或一次性口令的设备发送许可权的特殊消息或一次性口令的设备“只有你具有的特征只有你具有的特征”生物生物/行为测定行为测定 指纹、虹膜等指纹、虹膜等 签名等签名等42一般控制纲要信息系统审计概论逻辑访问控制 逻辑访问

32、授权逻辑访问授权通过授权过程赋予用户对系统逻辑访问的能力，决通过授权过程赋予用户对系统逻辑访问的能力，决定什么人能访问什么资源，并正式记录授权内容。定什么人能访问什么资源，并正式记录授权内容。应清楚用户在某一级别的访问能做什么、不能做什应清楚用户在某一级别的访问能做什么、不能做什么。么。访问授权表访问授权表/访问控制列表访问控制列表 当员工职位有变动时，当员工职位有变动时，ISIS审计师要及时审核访问控制列表审计师要及时审核访问控制列表是否做了有效变更。是否做了有效变更。43一般控制纲要信息系统审计概论逻辑访问控制 远程访问控制远程访问控制大量使用基于大量使用基于TCP/IPTCP/IP的的I

33、nternetInternet访问访问组织应建立安全政策与程序，并教育用户组织应建立安全政策与程序，并教育用户 便携式存储设备控制便携式存储设备控制组织安全政策中禁止所有可移动设备的使用组织安全政策中禁止所有可移动设备的使用禁止使用禁止使用USBUSB端口端口对可能被复制的数据进行加密对可能被复制的数据进行加密44一般控制纲要信息系统审计概论物理访问控制 物理访问风险物理访问风险未经授权进入信息处理场所未经授权进入信息处理场所损毁、破坏或窃取设备、财产或文件损毁、破坏或窃取设备、财产或文件复制或变更、偷看或泄露敏感的或有著作权的信息复制或变更、偷看或泄露敏感的或有著作权的信息 物理访问控制对象

34、物理访问控制对象ISIS的相关处理场所和设施的相关处理场所和设施整个组织范围内、办公场所边界处、外部机构、租整个组织范围内、办公场所边界处、外部机构、租赁出租场所等赁出租场所等 物理访问控制物理访问控制只有经过管理层授权的人员才能访问只有经过管理层授权的人员才能访问通用的访问控制：门锁、摄像监控、出入陪同、访通用的访问控制：门锁、摄像监控、出入陪同、访问日志、自动报警系统等。问日志、自动报警系统等。45一般控制纲要信息系统审计概论系统访问控制及其审计46内容内容控制措施控制措施审计审计逻辑逻辑访问访问控制控制1.1.身份识别与验证；身份识别与验证；2.2.逻辑访问路径；逻辑访问路径；3.3.逻

35、辑访问授权；逻辑访问授权；4.4.远程访问控制；远程访问控制；5.5.便携式存储设备控制。便携式存储设备控制。1.1.了解了解ISIS处理设施的技术、管理处理设施的技术、管理、安全环境；、安全环境；2.2.记录逻辑访问路径，评估相关记录逻辑访问路径，评估相关软硬件设施；软硬件设施；3 3、检查已实施的逻辑访问控制、检查已实施的逻辑访问控制软件，查看软件的记录与报告；软件，查看软件的记录与报告；4 4、查看组织的安全政策。、查看组织的安全政策。物理物理访问访问控制控制通用的物理访问控制包通用的物理访问控制包括门锁、摄影监控、出括门锁、摄影监控、出入陪同、访问日志登记入陪同、访问日志登记、自动报警

36、系统等。、自动报警系统等。1 1、现场查看信息处理设施和异、现场查看信息处理设施和异地存储设施；地存储设施；2 2、评估物理进入的路径；、评估物理进入的路径；3 3、审核文件和记录。、审核文件和记录。一般控制纲要信息系统审计概论5.系统网络架构控制及其审计南京审计学院南京审计学院一般控制纲要信息系统审计概论系统网络架构控制及其审计 局域网控制与审计局域网控制与审计 C/SC/S架构风险与控制架构风险与控制 互联网风险与控制互联网风险与控制 网络安全技术网络安全技术48一般控制纲要信息系统审计概论局域网控制与审计 局域网局域网 局域网风险局域网风险 局域网风险管理与审计局域网风险管理与审计局域网

37、拓扑结构及网络设计；局域网拓扑结构及网络设计；网络管理员及局域网所有者的职责；网络管理员及局域网所有者的职责；网络管理员及局域网所有者所执行的功能；网络管理员及局域网所有者所执行的功能；局域网上的用户及用户组；局域网上的用户及用户组；局域网上所使用的各种应用系统；局域网上所使用的各种应用系统；与网络设计、技术支持、命名规范及数据安全有关与网络设计、技术支持、命名规范及数据安全有关的工作程序及标准。的工作程序及标准。49对对ISIS审计来说，最重要审计来说，最重要的是获得对局域网的全的是获得对局域网的全面了解，并记录相关事面了解，并记录相关事项。项。一般控制纲要信息系统审计概论C/S架构风险与控

38、制 C/SC/S架构架构 C/SC/S架构风险架构风险 C/SC/S架构风险控制架构风险控制禁止使用软驱禁止使用软驱/USB/USB设备设备/红外红外/蓝牙等蓝牙等网络监控网络监控数据加密数据加密访问控制访问控制50一般控制纲要信息系统审计概论互联网风险与控制 互联网安全威胁互联网安全威胁被动攻击：监听被动攻击：监听主动攻击：主动攻击：中断中断篡改篡改伪造伪造51恶意攻击者一般同恶意攻击者一般同时采取两种方式。时采取两种方式。互联网攻击的主要表现互联网攻击的主要表现形式：非授权访问。形式：非授权访问。源源目的目的源源目的目的sniffer一般控制纲要信息系统审计概论互联网风险与控制 互联网安全

39、控制互联网安全控制ISIS安全管理框架：策略、原则、标准、程序、指南安全管理框架：策略、原则、标准、程序、指南定期风险评估定期风险评估员工培训员工培训系统配置系统配置/配置管理配置管理防火墙安全体系防火墙安全体系入侵检测入侵检测加密数据加密数据52一般控制纲要信息系统审计概论网络安全技术 网络防火墙网络防火墙设置在不同网络或网络安全域之间、作为唯一出入口设置在不同网络或网络安全域之间、作为唯一出入口的一系列部件的组合。根据安全策略控制（允许、拒的一系列部件的组合。根据安全策略控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。提供

40、信息安全服务，实现网络和信息安全攻击能力。提供信息安全服务，实现网络和信息安全的基础设施。的基础设施。分类：分类：包过滤防火墙：简单、便宜、性能好，不够安全。路由器包过滤防火墙：简单、便宜、性能好，不够安全。路由器 应用级防火墙：需一堡垒主机，建立代理。应用级防火墙：需一堡垒主机，建立代理。状态检测防火墙状态检测防火墙53一般控制纲要信息系统审计概论网络安全技术 入侵监测系统入侵监测系统分类：分类：基于主机的入侵监测基于主机的入侵监测 基于网络的入侵监测基于网络的入侵监测分析方法分析方法 特征分析法特征分析法 统计分析法统计分析法 神经网络神经网络54一般控制纲要信息系统审计概论网络安全技术

41、加密技术及其应用加密技术及其应用加密：加密：把数据（普通文本）变换为不可读的形式（加密文把数据（普通文本）变换为不可读的形式（加密文本）的过程。本）的过程。对网络通信和数据存储很有意义。对网络通信和数据存储很有意义。关键要素：加密算法、加密密钥、密钥长度关键要素：加密算法、加密密钥、密钥长度加密技术的应用加密技术的应用 数字签名：私钥加密、公钥解密数字签名：私钥加密、公钥解密 数字信封：公钥加密对称密码、私钥解密数字信封：公钥加密对称密码、私钥解密 公钥基础设施（公钥基础设施（PKIPKI）与数字证书：认证中心（）与数字证书：认证中心（CACA）签发）签发 网络安全协议：安全套接层协议（网络安

42、全协议：安全套接层协议（SSLSSL）、安全）、安全ShellShell协议协议（SSHSSH）、安全电子交易（）、安全电子交易（SETSET）等。）等。55对机密信息尤为适用一般控制纲要信息系统审计概论网络安全技术 虚拟私有网络（虚拟私有网络（VPNVPN）通过公共网络建立临时的、安全的连接，获得通过公共网络建立临时的、安全的连接，获得专用网的服务。专用网的服务。功能：功能：加密数据加密数据 信息认证和身份认证信息认证和身份认证 提供访问控制提供访问控制56一般控制纲要信息系统审计概论网络架构控制的审计 审核网络结构与设施审核网络结构与设施 审核安全政策、标准、程序和指南审核安全政策、标准、

43、程序和指南 服务水平协议（服务水平协议（SLASLA）审核控制执行情况审核控制执行情况 员工培训员工培训 法律问题法律问题57 局域网控制的审核局域网控制的审核 远程访问控制的审核远程访问控制的审核 网络穿透测试网络穿透测试 网络变更控制的审核网络变更控制的审核一般控制纲要信息系统审计概论局域网控制的审计 保证局域网体系结构的设计和选择遵循了适当保证局域网体系结构的设计和选择遵循了适当的标准，并保证获取和运行成本不超过效益。的标准，并保证获取和运行成本不超过效益。ISIS审计师应检查与审核以下事项：审计师应检查与审核以下事项：局域网拓扑结构和网络设计；局域网拓扑结构和网络设计；重要的局域网组件

44、（如：服务器和交换机）；重要的局域网组件（如：服务器和交换机）；局域网配置以及和其他局域网、广域网或公共网络局域网配置以及和其他局域网、广域网或公共网络的互联；的互联；局域网使用，包括重要的流量类型和网络上运行的局域网使用，包括重要的流量类型和网络上运行的主要应用；主要应用；局域网管理员与重要的局域网用户组。局域网管理员与重要的局域网用户组。58一般控制纲要信息系统审计概论远程访问控制的审计 确定组织为所有的远程访问提供了控制措施，确定组织为所有的远程访问提供了控制措施，特别是要对来自非信任网络环境的授权用户进特别是要对来自非信任网络环境的授权用户进行的远程访问进行严格的安全控制，并对其访行的

45、远程访问进行严格的安全控制，并对其访问情况进行了记录。问情况进行了记录。ISIS审计师应检查与审核以下事项：审计师应检查与审核以下事项：确定设计与实施是基于成本有效、风险评估的原则确定设计与实施是基于成本有效、风险评估的原则并反映组织的业务需要；并反映组织的业务需要；检查组织的所有远程访问接入点；检查组织的所有远程访问接入点；评价各种方法的有效性；评价各种方法的有效性；测试授权用户的访问权限；测试授权用户的访问权限；审查审查Internet使用情况。使用情况。59一般控制纲要信息系统审计概论网络穿透测试60 利用黑客技术，试图绕开安全控制功能，利用利用黑客技术，试图绕开安全控制功能，利用系统脆

46、弱性，进行非授权访问，对组织的网络系统脆弱性，进行非授权访问，对组织的网络进行测试。进行测试。测试范围：根据网络实际情况与用户需求而定测试范围：根据网络实际情况与用户需求而定 实施前规划实施前规划 获得书面授权，与相关管理层、工作人员沟通获得书面授权，与相关管理层、工作人员沟通 对整个网络系统的漏洞进行综合性审核对整个网络系统的漏洞进行综合性审核审核信息安全政策和程序审核信息安全政策和程序评价网络和防火墙安全设置评价网络和防火墙安全设置评价逻辑访问控制评价逻辑访问控制检查并确定组织实施的安全措施检查并确定组织实施的安全措施一般控制纲要信息系统审计概论网络变更控制的审核 要特别关注网络配置的变更

47、得到管理层的书面要特别关注网络配置的变更得到管理层的书面授权授权 抽样检查最近的变更请求抽样检查最近的变更请求 保证组织建立了对变更的有效控制保证组织建立了对变更的有效控制_特定变更与控制程序特定变更与控制程序61变更控制程序最重要的目的：防变更控制程序最重要的目的：防止和检测对软件、配置参数和数止和检测对软件、配置参数和数据的非授权修改。据的非授权修改。一般控制纲要信息系统审计概论6.灾难恢复控制及其审计南京审计学院南京审计学院一般控制纲要信息系统审计概论灾难恢复与业务持续 灾难与业务中断灾难与业务中断自然灾害，如地震等；自然灾害，如地震等；预期的服务不正常时，如供电、通信中断；预期的服务不

48、正常时，如供电、通信中断；人为的破坏，如恐怖袭击。人为的破坏，如恐怖袭击。63一般控制纲要信息系统审计概论灾难恢复与业务持续计划 业务持续计划（业务持续计划（BCPBCP）应该综合考虑两方面：）应该综合考虑两方面：关键信息系统处理实施关键信息系统处理实施终端用户的业务功能终端用户的业务功能 灾难恢复策略灾难恢复策略短期恢复策略：建立可替换的处理设施短期恢复策略：建立可替换的处理设施长期恢复策略：建立永久性的信息处理场所与设施长期恢复策略：建立永久性的信息处理场所与设施64一般控制纲要信息系统审计概论灾难恢复与业务持续计划 BCPBCP按其生命周期分为以下阶段按其生命周期分为以下阶段业务影响分析

49、业务影响分析运行分类和重要性分析运行分类和重要性分析制定灾难恢复和业务连续计划制定灾难恢复和业务连续计划培训教育程序培训教育程序测试与实施计划测试与实施计划监测监测65一般控制纲要信息系统审计概论业务影响分析 业务影响分析的前提：业务影响分析的前提：了解组织的整体情况了解组织的整体情况关键业务处理流程关键业务处理流程组织处理关键业务流程时使用的组织处理关键业务流程时使用的ITIT资源资源 考虑：考虑：主要业务流程主要业务流程关键关键ITIT资源资源关键恢复时间周期关键恢复时间周期 恢复成本与停机成本恢复成本与停机成本总成本最小总成本最小（P84 图3.5）66执行方法：执行方法：问卷调查问卷调

50、查拜访关键用户拜访关键用户与与ITIT人员人员/终端用户讨论终端用户讨论一般控制纲要信息系统审计概论业务影响分析 灾难恢复的操作方式灾难恢复的操作方式自动恢复：借助高可靠性软件自动恢复：借助高可靠性软件人工恢复人工恢复 业务重要性分类业务重要性分类分类尺度与分类尺度与风险风险有关有关67重要业务发生中断的重要业务发生中断的可能性可能性；关键恢复时间周期对业务运行的关键恢复时间周期对业务运行的影响影响。典型的业务重要性分类标准典型的业务重要性分类标准见P85表3.2一般控制纲要信息系统审计概论恢复目标 恢复点目标（恢复点目标（RPORPO）由业务中断情况下可接受的数据损失来决定由业务中断情况下可

51、接受的数据损失来决定 恢复时间目标（恢复时间目标（RTORTO）由业务中断情况下可接受的停机时间决定由业务中断情况下可接受的停机时间决定68RTORTO和和RPORPO都基于时间参数，恢复时间要求都基于时间参数，恢复时间要求越短，恢复成本就越高。越短，恢复成本就越高。一般控制纲要信息系统审计概论恢复策略 恢复策略恢复策略定义灾难发生时恢复系统的最佳方式与指南。定义灾难发生时恢复系统的最佳方式与指南。据此开发恢复程序据此开发恢复程序 策略选择应考虑：策略选择应考虑：业务流程及支持此流程的应用系统的重要性、以及业务流程及支持此流程的应用系统的重要性、以及安全需求安全需求恢复成本：不大于停机成本恢复

52、成本：不大于停机成本恢复时间恢复时间安全需求安全需求69一般控制纲要信息系统审计概论恢复类型 冗余信息处理设施冗余信息处理设施热站热站组织间互惠协议：成本低，但执行困难组织间互惠协议：成本低，但执行困难70设备设备成本成本恢复时间恢复时间适用情况适用情况热热站站提供机房环境、网络、主机、操作系统提供机房环境、网络、主机、操作系统、数据库、通讯等各方面的全部配置、数据库、通讯等各方面的全部配置高高快速快速重要业务、重要业务、短期使用短期使用温温站站只提供网络连接和一些外部设备，不配只提供网络连接和一些外部设备，不配备主机备主机中中一般一般计算机易获计算机易获得、快速使得、快速使用用冷冷站站只提供

53、支持信息处理设施运行的基本环只提供支持信息处理设施运行的基本环境境低低可能较长可能较长移移动动站站特别设计的拖车式计算设备特别设计的拖车式计算设备很低很低附近无其他附近无其他恢复设备恢复设备一般控制纲要信息系统审计概论制定灾难恢复与业务持续计划 灾难恢复与业务持续性计划包括：灾难恢复与业务持续性计划包括：业务连续性计划（业务连续性计划（BCP）；）；业务恢复计划（业务恢复计划（BRP）；）；连续作业计划（连续作业计划（COOP）；）；连续支持计划连续支持计划/IT应急计划；应急计划；危机通信计划；危机通信计划；事件响应计划；事件响应计划；灾难恢复计划（灾难恢复计划（DRP）；）；场所紧急计划（

54、场所紧急计划（OEP）等。）等。71一般控制纲要信息系统审计概论制定灾难恢复与业务持续计划 计划涉及业务流程中断后的相关问题计划涉及业务流程中断后的相关问题关键决策人员关键决策人员常备品常备品通信网络恢复方法通信网络恢复方法服务器灾难恢复与容错服务器服务器灾难恢复与容错服务器冗余磁盘阵列（冗余磁盘阵列（RAIDRAID）保险保险 组建合适的团队，确定相关角色的职责组建合适的团队，确定相关角色的职责 在异地备份场所存放计划的备份在异地备份场所存放计划的备份72BCPBCP可能含有可能含有多个计划文件多个计划文件一般控制纲要信息系统审计概论异地备份 备份内容备份内容重要软件：重要软件：OSOS、编

55、程语言、系统工具、应用程序。、编程语言、系统工具、应用程序。重要纸质文档：运行指南、用户手册、记录、数据重要纸质文档：运行指南、用户手册、记录、数据文件、数据库文档、输入输出文档。文件、数据库文档、输入输出文档。备份时间：备份时间：周期性进行周期性进行 备份方式：备份方式：完全备份、增量备份、差分备份完全备份、增量备份、差分备份73一般控制纲要信息系统审计概论异地备份 对异地备份库的控制对异地备份库的控制非授权物理访问控制非授权物理访问控制物理结构防火、防高温等物理结构防火、防高温等远离被备份的信息中心远离被备份的信息中心只有授权人员才能访问只有授权人员才能访问对存储介质都建立永久目录，并妥善

56、维护对存储介质都建立永久目录，并妥善维护对进出库存储介质和文件建立目录，并妥善维护对进出库存储介质和文件建立目录，并妥善维护对数据文件的内容、版本和位置等相关信息建立记对数据文件的内容、版本和位置等相关信息建立记录，并妥善维护录，并妥善维护 对异地处理设施的安全控制对异地处理设施的安全控制应当像组织内部的应当像组织内部的ISIS处理设施一样对待处理设施一样对待74一般控制纲要信息系统审计概论审计 评估业务连续性策略评估业务连续性策略 评估评估BCPBCP（充分性、时效性、有效性）（充分性、时效性、有效性）评估异地存储（存在性、同步性、安全性）评估异地存储（存在性、同步性、安全性）设施和场所设施

57、和场所内容内容 评估应急措施、测试结果等评估应急措施、测试结果等 人员检查：职责说明、员工培训人员检查：职责说明、员工培训 合同检查合同检查 审核保险事务审核保险事务75一般控制纲要信息系统审计概论思考题76 什么是一般控制？信息系统一般控制的内什么是一般控制？信息系统一般控制的内涵是什么？对信息系统一般控制的审计目涵是什么？对信息系统一般控制的审计目标是什么？标是什么？请查阅相关资料，了解请查阅相关资料，了解2008年年5月月12日我日我国四川发生严重地震后，当地电信部门在国四川发生严重地震后，当地电信部门在灾难事件发生后所采取的恢复行动和保障灾难事件发生后所采取的恢复行动和保障业务持续的工作。结合实例分析对于一个业务持续的工作。结合实例分析对于一个组织来说，为面临这一类影响业务运营的组织来说，为面临这一类影响业务运营的灾难事件而建立的灾难恢复和业务持续计灾难事件而建立的灾难恢复和业务持续计划应该包含哪些内容？划应该包含哪些内容？