信息系統(tǒng)審計(jì)內(nèi)容ppt課件(編輯修改稿)
2025-02-13 15:38 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 IT支持職能有效滿足了業(yè)務(wù)要求； 3. 評(píng)估數(shù)據(jù)管理實(shí)務(wù)，確保數(shù)據(jù)庫(kù)的完整性和最優(yōu)化； 4. 評(píng)估能力的使用和性能監(jiān)控工具與技術(shù)； 5. 評(píng)估變更、配置和發(fā)布管理實(shí)務(wù)，確保被詳細(xì)記錄； 6. 評(píng)估問(wèn)題和事件管理實(shí)務(wù)，確保所有事件、問(wèn)題和錯(cuò)誤都被及時(shí)記錄，分析和解決 7. 評(píng)估 IT基礎(chǔ)構(gòu)架（網(wǎng)絡(luò)，軟硬件）功能，確保其對(duì)組織目標(biāo)的支持 IT治理 開(kāi)發(fā)或采購(gòu)審計(jì) 運(yùn)行與維護(hù)審計(jì) 安全審計(jì) 災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性計(jì)劃 一般控制審計(jì)的內(nèi)容 4 源自： CISA Manual（國(guó)際信息系統(tǒng)審計(jì)協(xié)會(huì) ISACA） 信息系統(tǒng)審計(jì)的五大內(nèi)容 1. 評(píng)估邏輯訪問(wèn)控制的設(shè)計(jì)、實(shí)施和監(jiān)控，確保信息資產(chǎn)的 機(jī)密性、完整性、有效性和經(jīng)授權(quán)使用； 2. 評(píng)估網(wǎng)絡(luò)框架和信息傳輸?shù)陌踩? 3. 評(píng)估環(huán)境控制的設(shè)計(jì)、實(shí)施和監(jiān)控，確保信息資產(chǎn)充分安 全； 4. 評(píng)估保密信息資產(chǎn)的采集、存儲(chǔ)、使用、傳輸和處置程序 的流程。 IT治理 開(kāi)發(fā)或采購(gòu)審計(jì) 運(yùn)行與維護(hù)審計(jì) 安全審計(jì) 災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性計(jì)劃 一般控制審計(jì)的內(nèi)容 5 源自： CISA Manual（國(guó)際信息系統(tǒng)審計(jì)協(xié)會(huì) ISACA） 信息系統(tǒng)審計(jì)的五大內(nèi)容 1. 評(píng)估備份和恢復(fù)準(zhǔn)備的充分性，確?；謴?fù)運(yùn)營(yíng)所需信息的有效性和可用性； 2. 評(píng)估組織的災(zāi)難恢復(fù)計(jì)劃，確保一旦發(fā)生災(zāi)難， IT處理能力可以及時(shí)恢復(fù)； 3. 評(píng)估組織的業(yè)務(wù)連續(xù)性計(jì)劃，確保 IT服務(wù)中斷期間，基本業(yè)務(wù)運(yùn)營(yíng)不間斷的能力 IT治理 開(kāi)發(fā)或采購(gòu)審計(jì) 運(yùn)行與維護(hù)審計(jì) 安全審計(jì) 災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性計(jì)劃 常見(jiàn)的一般控制審計(jì)需求 1. 組織管理審計(jì) 2. 信息中心職責(zé)分離審計(jì) 3. 機(jī)房物理環(huán)境審計(jì) 4. 操作系統(tǒng)審計(jì) 5. 數(shù)據(jù)庫(kù)審計(jì) 6. 網(wǎng)絡(luò)安全審計(jì) 7. 開(kāi)發(fā)審計(jì) 8. 運(yùn)行審計(jì) 9. 災(zāi)備審計(jì) 組織管理審計(jì)目標(biāo)與程序 ? 審計(jì)目標(biāo)： （ 1）確認(rèn)企業(yè)是否制訂了信息系統(tǒng)規(guī)劃，規(guī)劃是否得當(dāng) （ 2）確定職責(zé)劃分是否合理，不相容職責(zé)是否相分離，確定職責(zé)劃分是否認(rèn)真執(zhí)行。 ? 審計(jì)程序 （ 1）獲取被審計(jì)單位的信息系統(tǒng)規(guī)劃文檔，分析其規(guī)劃是否得當(dāng)，能否支持企業(yè)目標(biāo)，滿足業(yè)務(wù)活動(dòng)需求和信息需求 （ 2）審閱組織結(jié)構(gòu)文件，如組織結(jié)構(gòu)圖、重要崗位的工作描述和作業(yè)流程，確認(rèn)各項(xiàng)職責(zé)劃分是否合理，不相容職責(zé)是否進(jìn)行了嚴(yán)格的分離 （ 3）實(shí)地觀察與組織控制相關(guān)的作業(yè)活動(dòng)，確認(rèn)各項(xiàng)關(guān)鍵職能工作是否有由不同員工擔(dān)任，以及職責(zé)分離政策是否在實(shí)際作業(yè)活動(dòng)中得以貫徹落實(shí) （ 4）觀察員工的操作是否符合流程描述 （ 5）檢查用戶權(quán)限，確認(rèn)有關(guān)人員的權(quán)限是否與其工作描述一致。 信息中心的職責(zé)分離矩陣 操作系統(tǒng)的審計(jì)目標(biāo)與程序 ? 操作系統(tǒng)的審計(jì)目標(biāo)： （ 1）驗(yàn)證訪問(wèn)權(quán)限的分配是滯與不相容職責(zé)分離的要求相一致，并符合企業(yè)的政策 （ 2）確認(rèn)企業(yè)是滯有恰當(dāng)和有效的口令控制對(duì)操作系統(tǒng)的訪問(wèn) （ 3）確定管理政策、程序和控制步驟是否嚴(yán)密有效，是否能防護(hù)操作系統(tǒng)不受硬件失靈，軟件差錯(cuò)、人為故障和病毒侵蝕等因素干擾 ? 審計(jì)程序： （ 1）查閱企業(yè)有關(guān)不相容職責(zé)的分離政策，確定其能否實(shí)現(xiàn)合理的安全水平 （ 2）檢查是否建立操作系統(tǒng)口令制度，對(duì)口令的授予和更改程序是否合理得當(dāng) （ 3）查閱員工招聘記錄，檢查選定權(quán)限的用戶組和用戶的權(quán)限，確定其訪問(wèn)權(quán)限是否與工作范圍及職責(zé)一致。 （ 4）檢查員工記錄，確定員工是否均有書(shū)面承諾對(duì)企業(yè)數(shù)據(jù)的責(zé)任 （ 5）檢查操作記錄，確定具有權(quán)限的人員是否根據(jù)有關(guān)規(guī)定，授受了充分的安全責(zé)任 （ 6）檢查所有用戶都必須擁有口令 （ 7）審查口令標(biāo)準(zhǔn)的適當(dāng)性，如
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1