信息技术系统审计

维普资讯 ５２　广州大学学报（自然科学版）　第１卷　违章．完整性是保护机制的性质，它能确保在防止　非法存取和制止安全违章方面发挥作用．　存取控制技术用来实现存取规则，在这些规则　允许的前提下可以超越隔离屏障．它们不仅控制什　么用户可以存取什么数据．而且也控制允许用户用　这些数据做什么．　侦察和监视技术确保存取规则的监视．还提供　在安全违章情况下所采取的正确行动．如图２所　示，主要的防御手段有威胁监测、趋势分析、事故调　查和审计．　一个侵人攻击在系统控制台日志上、硬件监铡　器探查上和安全控制台上都会产生可疑的迹象．安　全控制台上的安全人员可以直接制止这个侵入攻　击．可由控制台记录和硬件监测器积累的证据作事　后调查，并可通过审查踪迹产生文字材料证明所负　的责任．　１慢＾尝试Ｉ．————————　行动　萄　

Ｉ塑苎坌堑　Ｉ！竺堡兰『—　图２系统监视和侦察原理田　Ｆｉｇ．２　ｓｙ日ｔｅｒｎ　ｓｕｒｖｅｉｌｌａｎｃｅ　ａｎｄ　ｄｅｔｅｃｔｉｏｎ　ｎｃｉｐｌｅ　ｃｈａｒｔ　完整性包括保证实施标识、隔离、存取控制以　及侦察和监视等机制是可靠和正确运行的所有技　术．以下我们讨论侦察和监视中的审计技术．　３安全审计　

审计线索来源于财务审计专业，是通过获得有　关方面的全部资料建立的．建立审计线索是为了弄　清并核实所有必要的授权．审计线索为任何异常事　件、欺诈行为或滥用负责．对敏感文件、程序、数据　信息、事件及人物等所有与安全有关的活动按时间　顺序作全部记录和审查．帮助查清事故原因．它是　一个基本的调查工具．也是实施安全计划的重要手　段　要求审计线索记录下列事件：连机请求，文件　打开，程序启动．目标删除以及计算机操作员、系统　管理员和安全负责人所采取的行动．要求审计线索　记录下列数据：事件的日期和时间、用户标识、事件　①ｎ　Ｃ￣￣．ｕｌｄｎｇ．ＩＮＦＯＩＬＭＩＸ—ＯＮＵＮＥ动态服务器系统管理、１９９６　类型、尝试的成功或失败、所涉及的数据文件或程　序的名字系统管理员可根据用户标识审核用户所　采取的行动．　为了产生审计线索．必须积累文字证据材料，　要求保存好以下记录：（１）外人访问电子数据处理　中心的历史：（２）任何存取控制物品的使用历史，包　括它的当前地位和状况；（３）任何职员自第一次上　任以来关于特权的授予、更改或撤消历史；（４）任何　职员在去年阅读、处理或保管该文件的特殊经历时　间表：（５）影响责任文件的特殊事件．包括阅读、处　理或保管过该文件的职员时间表；（６）任何私人记　录的５年业务历史；（７）任何价值１００美元以上的　仪器使用前后事件处理历史：（８）任何计算机操作　系统程序的历史演变；（９）对任何定期更新的机器　可读文件，它的三代文件中记录操作的一致性；　（１０）任何敏感应用程序的历史演变．包括它的建　立、开发和测试、实现、修改、维护和使用；（１１）有关　一类特定电子数据处理安全违章事件的时间表：　（１２）所有经过调查的电子数据处理安全违章事件　记录的时间顺序表．　

一Ｉ　●ｉｌ－　

会计信息系统审计的技术方法　

口孙立辉　

会计信息系统审计是指通过一定的技术手段收集并评估证　

据，以判断一个会计信息系统是否做到安全、可靠和有效，同时　

又能最经济的使用资源。会计信息系统审计的目标是对被审计单　

位计算机信息系统的安全性、可靠性，有效性和效率发表意见；　

会计信息系统审计的对象是被审计单位的计算机会计信息系统；　

会计信息系统审计的内容，是会计信息系统的系统资源、运行环　

境及系统的生命周期全过程。　

会计信息系统是建立在计算机硬件和软件基础之上的软件　

系统，由于其在企业管理过程中的核心重要作用及其本身的复杂　

性和建设维护成本的高昂性，在对会计信息系统正式实施审计过　

程前，应做到高屋建瓴，对整个审计过程有个策略性的把握。　

一、考虑会计信息系统审计目的，将整个会计信息系统分　

解成为子系统　

了解一个复杂系统的首要步骤就是将该系统分解成为若干　

个子系统。子系统是系统的组成部分，系统的不同功能描述在不　

同的子系统中。将系统分解成为子系统．以降低系统的复杂性，　

方便审计人员了解和评价系统。系统分解要遵循．“高内聚、低藕　

合”理论。“高内聚”是指每一子系统内部的自身联系应当紧　

密，“低藕合”是指子系统间的相关联系统应尽量减少，每一子　

系统应当尽可能独立于其它子系统。从而使审计人员在评价一个　

子系统时，可相对独立于其它子系统而评价该系统；子系统所执　

行的活动应尽可能在其内部完成。虽然可以从不同的角度，采用　

不同的方式来分解一个系统。但是，在执行会计信息系统审计　

时，为便于审计人员了解和评价系统，提倡从对信息系统的管理　

角度和应用角度两方面来分解系统。　

首先，从对会计信息系统管理的角度，按照管理功能进行　

分解。（１）高层管理子系统。负责管理会计信息系统，并负责　

制定运用会计信息系统的长期策略。　（２）会计信息系统管理子　

系统。全面负责会计信息系统活动的计划与控制，同时向高层管　

理者提供与长期决策有关的建议，并将长期策略变为短期目标。　

it审计的内容

IT审计的内容

IT审计是指对企业或组织的信息技术系统进行全面检查和评估的过程。它涉及到对信息技术基础设施、数据管理、信息安全、业务流程以及合规性等方面的审查。IT审计的目的是确保信息技术系统的正常运作、安全可靠，并且符合相关法规和标准。下面将从不同方面介绍IT审计的内容。

一、信息技术基础设施审计

信息技术基础设施是企业或组织正常运作的基础，包括硬件设备、软件系统、网络设施等。在IT审计过程中，会对这些基础设施进行审查，包括设备的完整性、性能、可用性、备份和恢复机制等方面。审计人员会评估基础设施的安全性，检查是否存在安全漏洞和薄弱点，并提出相应的改进建议。

二、数据管理审计

数据是企业或组织最重要的资产之一，因此数据管理是IT审计的重要内容之一。审计人员会对数据的完整性、准确性、保密性和可用性进行评估。他们会检查数据的备份和恢复机制，以及数据的访问控制和权限设置。此外，审计人员还会关注数据的合规性，例如数据保护和隐私政策是否符合相关法规和标准。

三、信息安全审计 信息安全是IT审计的核心内容之一。审计人员会评估企业或组织的信息安全策略、安全管理制度和安全控制措施。他们会检查网络安全防护措施，包括防火墙、入侵检测系统和安全策略的执行情况。审计人员还会对员工的安全意识进行评估，以确定是否存在安全培训和教育的需求。

四、业务流程审计

IT系统在企业或组织的业务流程中起到关键作用，因此审计人员会对业务流程进行审查。他们会评估业务流程的合理性和高效性，检查业务流程中的控制措施是否有效。审计人员还会关注业务流程的自动化程度和信息系统的集成情况，以确定是否存在改进和优化的空间。

五、合规性审计

合规性是企业或组织必须遵守的法规和标准。IT审计人员会对企业或组织的信息技术系统是否符合相关法规和标准进行评估。他们会检查企业的信息安全政策、数据保护政策和合规性程序，以确定是否存在合规性风险和违规行为。

信息系统审计内容

一、信息系统审计内容概述

信息系统审计对象，包括操作系统、主机、网络、数据库、应用软件、数据、管理制度等。信息系统审计内容主要包括对组织层面信息技术控制、信息技术一般性控制及业务流程层面相关应用控制的检查和评价。

二、对组织层面信息技术控制的审计

组织层面信息技术控制审计的内容包括：

（一）控制环境

内部审计人员应当关注组织的信息技术战略规划与业务布局的契合度、信息技术治理制度体系建设、信息技术部门的组织架构、信息技术治理的相关职权与责任分配、信息技术的人力资源管理、对用户的教育和培训等方面。

（二）风险评估

内部审计人员应当关注组织在风险评估总体架构中关于信息技术风险管理流程，信息资产的分类及信息资产所有者的职责，以及对信息系统的风险识别方法、风险评价标准、风险应对措施。

（三）控制活动

内部审计人员应当关注信息系统管理的方法和程序，主要包括职责分工控制、授权控制、审核批准控制、系统保护控制、应急处置控制、绩效考评控制等。

（四）信息与沟通

内部审计人员应当关注组织决策层的信息沟通模式，信息系统对财务、业务流程的支持度，信息技术政策、信息安全制度传达与沟通等方面。

（五）内部监督

内部审计人员应当关注组织的监控管理报告系统、监控反馈、跟踪处理程序以及对信息技术内部控制自我评估机制等方面。

三、对信息系统一般性控制的审计

信息系统一般性控制是确保组织信息系统正常运行的制度和工作程序，目标是保护数据与应用程序的安全，并确保异常中断情况下计算机信息系统能持续运行。信息系统一般性控制包括硬件控制、软件控制、访问控制、职责分离等关键控制。审计人员应当采用适当的方法、合理的技术手段对信息系统建设的合规合法、信息系统的安全管理、访问控制、基础架构、数据保护以及灾难恢复等方面开展审计。信息系统一般性控制审计应当重点考虑下列控制活动：

（一）系统开发和采购审计

内部审计人员应当关注组织的应用系统及相关系统基础架构的开发和采购的授权审批，系统开发所制定的系统目标以及预期功能是否合理，是否能够满足组织目标；系统开发的方法，开发环境、测试环境、生产环境的分离情况，系统的测试、审核、验收、移植到生产环境等环节的具体活动。