信息系统审计指南
信息系统审计指南
信息系统审计指南信息系统审计是对组织的信息系统进行全面评估和检查的过程，旨在确保系统的安全性、可靠性和合规性。
它不仅仅关注技术方面，还包括审查相关政策和程序，以及评估组织在信息系统管理方面的整体表现。
本文将介绍信息系统审计的基本原则和步骤，帮助读者理解并开展有效的信息系统审计。
一、审计目标和范围在进行信息系统审计之前，首先需要明确审计的目标和范围。
审计目标可以是发现和解决安全漏洞、保障数据隐私、提高系统性能等。
审计范围可以包括系统架构、网络安全、数据管理、访问控制等方面。
明确目标和范围有助于审计人员有针对性地收集和评估相关信息。
二、确定审计方法和工具信息系统审计需要使用一系列方法和工具来收集和处理审计数据。
常用的审计方法包括问卷调查、文件和记录审查、系统抽样、技术测试等。
审计人员还可以借助专业的审计工具，如数据分析软件、网络嗅探器、安全性评估工具等。
选择合适的方法和工具能够提高审计效率和准确性。
三、收集审计证据审计依据事实和数据进行，因此收集审计证据非常重要。
审计人员可以通过访谈相关人员、观察业务流程、检查文件和记录、分析系统日志等方式获取证据。
确保收集的证据具有可靠性和完整性，以支持后续的评估和结论。
四、评估合规性和安全性在收集到足够的审计证据后，需要对信息系统的合规性和安全性进行评估。
合规性评估包括审查是否符合相关法律法规和行业标准，如个人信息保护法、ISO 27001等。
安全性评估则包括对系统的漏洞、脆弱性和风险进行分析和评估。
评估结果应该结合具体情况，提出合理的建议和改进建议。
五、编写审计报告审计报告是审计的最终输出，它对审计过程、评估结果和建议进行总结和归档。
报告应该具备清晰、准确、完整的特点，能够让读者理解审计的基本情况和重要发现。
报告结构要合理，可以包括简介、目标和范围、方法和工具、评估结果、建议和改进建议等部分。
同时，报告应该按照机构的要求进行格式和样式的规范。
六、跟进和监督改进信息系统审计并非一次性的任务，而是需要定期进行，以确保系统的持续改进和合规性。
证监会发布证券业信息系统审计指南
证监会发布证券业信息系统审计指南本文从网络收集而来，上传到平台为了帮到更多的人，如果您需要使用本文档，请点击下载按钮下载本文档（有偿下载），另外祝您生活愉快，工作顺利，万事如意！信息系统审计，是依据国家及行业信息系统相关规范和标准，对信息系统规划、建设、运维和应急等活动进行自我检查和评价，判断系统运行的安全性、系统建设的合规性和系统应用绩效，提出整改建议，并持续跟踪落实整改情况。
开展信息系统审计是国内外通用和成熟的做法，证监会证券期货业信息化工作领导小组多次强调，要在全行业开展信息系统审计工作，每年要依据信息技术规则对信息化建设和信息系统安全保障工作进行合规性审计，并相应进行建设整改。
证监会相关负责人指出，按照国家和行业的相关要求，行业机构积极开展了信息系统审计工作。
不过，从实践情况看，存在着对审计要求掌握不全面、缺乏可操作性强的指南等突出问题。
随后，证监会于2013年牵头组织相关单位起草、并于2014年正式发布了《审计规范》，对近年来国家及行业信息技术规章、规范、指引和标准进行了全面梳理，按照“从严”的原则，明确了信息系统规划、建设、运维和应急等活动的 3000余个审计项，从信息系统审计的组织、内容两个方面，对行业机构自主开展信息系统审计工作进行了规范。
本次发布的《信息系统审计指南》系列标准分为证券交易所、期货交易所、证券登记结算机构、其他核心机构、证券公司、基金管理公司和期货公司7个部分。
其中，每一部分都在考虑机构特点的基础上，按照信息技术治理审计底稿、机房管理审计底稿、网络管理审计底稿、运维管理审计底稿、信息系统安全等级保护相关工作审计底稿、软件正版化审计底稿、交易系统审计底稿、重要信息系统审计底稿、信息系统建设合规审计底稿、信息系统应用绩效审计底稿、信息系统托管审计底稿、信息系统调查表的顺序，给出了每个审计项的参考性审计依据和审计步骤，以规范行业核心机构和经营机构的审计人员客观准确地实施信息系统审计。
国内外信息系统审计操作指南对比研究
指南引言信息系统审计是审计机关针对被审计单位信息系统安排相关审计事项目的是揭示由于信息系统缺陷而导致的信息安全风险经济安全风险促进被审计单位加强信息化条件下的内部管理和控制提高信息化建设项目的效益同时保证审计所需数据的可靠性和可用性降低审计风险充分发挥审计保障国家经济社会健康运行的免疫系统功能
金 融在 线
国 内外 信 息 系统 审计 操作 指 南对 比研 究
张 静 余 建 坤 尹 建 业 付 云 昆 高 云 祥
（１．云 南财经 大学信息 学院 ，云 南 昆明 ６５０２２１；２．云南省 审计厅 ，云 南 昆 明 ６５００２１）
摘要 ：本 文 简要介 绍 了国￣ｔ－Ｔｘ我 国在信 息 系统 审计操作 指 南方 面的 建设状 况，对 现有 的 国外 国内信 息 系统 审计 操 作 指 南的 内容进 行 简单介绍 与对 比分 析 ，提 出了对我 国信 息 系统 审计操 作指 南的建 设建 议 ，期 望我 国的信 息 系统关键 词 ：信 息 系统 ；审计 ；指 南
并 获 得 执 业 资 格 者 可 在 全 球 范 围 内 开展 ＩＳＡ ｒ作 。 ＩＳＡＣＡ的信 息系统 审计 准 则 由 ＩＳＡ 标 准 、指 南 和 程序
信息系统功能的审计
对收集到的审计证据进行分析和整理，评估信息系统的 功能表现。
审计报告
撰写审计报告，总结审计结果，提出改进建议。
跟踪与监控
对改进建议的执行情况进行跟踪和监控，确保改进措施 的有效实施。
审计标准
根据信息系统的重要性和风险程度，选择适用的国际、 国内标准和行业规范，如ISO/IEC 20000、COBIT等， 作为审计的依据和参考。
报表生成模块
总结词
报表生成模块是信息系统的重要应用之一，用于生成各种格式的报表和数据展示 。
详细描述
报表生成模块可以根据用户的需求，快速生成各种类型的报表，如表格、图表和 图形等，提供灵活的报表定制和展示功能。此外，报表生成模块还可以与其他模 块进行集成，实现数据的动态展示和实时更新。
系统设置模块
问题复盘
对发现的问题进行复盘，总结经验教训，避免类ING
感谢您的观看
总结词
深入信息系统的运行环境，观察系统的 实际运行情况，验证系统的功能和性能 。
VS
详细描述
审计人员需要对信息系统的实际运行环境 进行实地考察，包括系统硬件设备、网络 架构、数据存储等方面，以了解系统的实 际运行状况和性能表现。同时，通过实地 考察可以发现潜在的安全风险和漏洞。
测试与验证
总结词
通过模拟实际操作场景，对信息系统的功能 进行测试和验证，确保系统功能的正确性和 可靠性。
目标
通过评估信息系统的功能完整性、准 确性、安全性和性能，发现潜在问题 ，提出改进建议，提高信息系统的可 靠性和有效性。
审计的重要性
确保信息系统功能与业务需求一致
01
通过对信息系统功能的审计，可以确保系统的功能与业务需求
相匹配，提高信息系统的使用价值。
信息系统安全审计规范
信息系统安全审计规范信息系统安全审计规范是为了确保信息系统安全性和合规性而制定的一套标准和准则。
在当今信息技术高速发展的背景下，信息系统的安全性问题日益突出，为了有效保护机构和个人的信息资产安全，信息系统安全审计规范成为了必不可少的工具。
一、引言信息系统是组织内部流转、存储、传输和处理信息的载体，而信息资产的保护对于组织的稳定和可持续发展至关重要。
信息系统安全审计规范的重要性日益凸显，它可以提供一个全面的、标准的和有条理的安全审计指南，以确保信息系统安全控制的适当实施和有效运作。
二、适用范围信息系统安全审计规范适用于所有使用电子信息系统的组织，包括但不限于企事业单位、政府机构、金融机构、教育机构等。
此规范适用于所有信息系统的设计、建设、运维和监管活动。
三、安全审计流程信息系统安全审计应遵循一定的流程，包括前期准备、审计计划的制定、实施审计活动、编写审计报告等步骤。
1. 前期准备：前期准备阶段主要包括与被审计单位的沟通、信息收集与分析、编制审计计划等工作。
审计人员要与被审计单位的相关人员沟通，了解被审计单位的信息系统架构、安全策略和控制措施等，为后续审计活动做好充分准备。
2. 审计计划的制定：审计计划是安全审计的路线图，应根据被审计系统的特点和风险评估结果制定。
审计计划应明确审计的范围、目标、方法和时间安排等，并与被审计单位进行充分的沟通和确认。
3. 实施审计活动：审计活动包括对信息系统各个环节的安全检查和评估，例如对网络设备的配置、访问控制机制的实施、安全事件日志的审查等。
审计人员应按照预定的计划进行审计，并记录下审计过程中发现的问题、风险和建议。
4. 编写审计报告：审计报告是信息系统安全审计的核心成果，应客观、准确地反映被审计单位的安全控制情况和存在的问题。
报告应包括被审计单位基本情况、审计范围、审计方法、发现问题的描述和评价、风险等级划分、改进建议等内容，以便于被审计单位能够根据报告快速改进其安全管理体系。
信息系统审计
信息系统审计随着信息技术的快速发展，信息系统在各行各业扮演着越来越重要的角色。
然而，信息系统的使用也带来了一系列的安全隐患和风险。
为了保障信息系统的安全性和有效性，信息系统审计成为了一项必不可少的工作。
本文将探讨信息系统审计的重要性、目的和流程，并介绍相关标准和规范。
一、信息系统审计的重要性信息系统是组织内部重要的数据处理和管理工具，它承担着数据存储、处理、传输等关键任务。
信息系统的安全性和稳定性对于组织的运作和发展至关重要。
信息系统审计通过评估和监控信息系统的安全性、可用性和合规性，帮助组织发现和解决潜在的安全问题和风险，保障信息系统的正常运行。
二、信息系统审计的目的1. 发现潜在的安全威胁：信息系统审计通过检查系统的配置、权限设置、更新管理等，发现系统中存在的潜在安全威胁，如未经授权访问、漏洞利用等。
2. 评估系统的安全性：信息系统审计评估系统的安全性，包括系统的物理安全、逻辑安全和网络安全等方面，发现系统存在的安全漏洞和弱点，提出改进建议。
3. 检测违规行为：信息系统审计通过检查系统的日志记录、访问控制和审计跟踪等，检测系统中是否存在违规行为，如未经授权的数据访问、篡改数据等。
4. 保护数据和隐私：信息系统审计通过评估数据的存储和传输过程，查看数据的备份和恢复策略，保护组织的重要数据和隐私信息免受损失和泄露。
5. 遵守法规和内部政策：信息系统审计确保组织的信息系统符合相关的法律法规和内部政策，如信息安全管理体系（ISMS）等。
三、信息系统审计的流程1. 确定审计目标：在进行信息系统审计之前，需要明确审计目标，包括系统的安全性、可用性、合规性等方面。
2. 收集信息：审计人员需要收集有关信息系统的各种资料，包括系统的架构、配置规范、访问权限等。
3. 进行现场检查：审计人员对信息系统的实际情况进行现场检查，包括系统设备的运行状态、安全控制措施的有效性等。
4. 分析评估：审计人员对收集到的信息进行分析和评估，发现系统存在的安全问题和风险，并提出改进建议。
信息系统审计方法与操作指引
2019/12/5
5
IT一般控制审计程序
影响变更管理测试性质和范围因素(续)
1.2.2 变更类型 要确定最适当的测试方法，了解和记录用于变更管理过程，包括 针对以下变更类型和IT环境技术组成要素过程：
► 程序开发/采购 — 开发和实施新应用程序或界面。 ► 程序变更 — 对现有应用程序和界面进行的变更。 ► 系统软件维护 — 对数据库、操作系统和其他系统软件进
风险控制矩阵是 对风险所导致负 面影响的量化， 从严重性、发生 概率和所涉及范 围等方面进行描 述，使得对风险 的刻画更为有效 和清晰。
识别出关键系统 的系统配置，包 括系统描述、应 用系统来源、计 算机平台、操作 系统、数据库名 称和版本等有关 系统的信息。
测试模板
根据对信息系统 的初步了解，设 计出相应的测试 模板，包括风险 点、控制点、测 试范围、测试时 间、测试步骤等 信息
IT一般控制是指为保证在一段时期内应用控制持续有效性，而在系统变更 和数据访问等方面的系统控制。因为这些控制对一个以上应用程序和数据 集都有效，所以被称为“IT一般控制”。
IT一般控制分类
变更管理：只允许对应用程序、界面、数据库和操作系统进行适当授权、 测试和批准的变更。
逻辑访问：只有经过授权的人员，才可以访问数据和应用程序（包括程序、 表和相关资源），并且他们只能执行明确授权的功能（例如：询问、执行 和更新）。
制要求修改密码。
2019/12/5
13
IT一般控制审计程序方法论
了解IT流程方法
为了解IT流程，参与评估人员需要在内控文档中对如下内容进行关注： 5个W(WHO, WHEN, WHAT,WHERE, WHY )与1个H( HOW )
信息系统审计的指南—计算机审计实务公告
信息系统审计的指南—计算机审计实务公告计算机审计实务参考指南是一个相对完整的框架，用于帮助审计人员进行计算机审计工作。
以下是一个关于计算机审计实务的公告，介绍了信息系统审计的指南和一些建议，帮助审计人员进行有效的计算机审计工作。
尊敬的领导、各位同事：为了提高企业的信息系统安全性和风险管理水平，确保信息系统的正常运行和数据的可靠性，本公司决定进行一次信息系统审计。
为了便于大家的工作，制定了以下指南和建议，希望能够帮助大家有效地完成计算机审计工作。
1.审计目的和范围：明确审计的目的和范围，包括所审计的信息系统的规模和功能，以及需要审计的重点和关注的问题。
2.审计计划：制定一份详细的审计计划，包括审计的时间表、人员安排和审计程序。
确保审计工作可以按照计划进行，并保证每个环节都得到充分的关注。
3.风险评估：对信息系统的风险进行评估，确定可能存在的威胁和漏洞。
基于评估结果，确定审计的重点和关注的问题，优化审计资源的分配。
4.审计程序：根据审计目标和风险评估结果，制定相应的审计程序。
审计程序应该包括对系统漏洞的扫描和检测、对权限和访问控制的审查、对安全策略和控制措施的评估等。
5.数据采集和分析：采集所需的数据，并进行必要的分析。
数据的采集和分析是评估信息系统安全性和效率的关键步骤，必须进行全面和准确的数据采集，并进行合理的数据分析。
6.风险管理：根据审计发现的问题，制定相应的风险管理措施。
风险管理措施应该包括对系统漏洞的修复、对权限和访问控制的改进、对安全策略和控制措施的更新等。
7.审计报告：根据审计结果，编写一份详细的审计报告。
审计报告应该包括所审计的信息系统的概述和背景、审计的目的和范围、审计的程序和结果、审计发现的问题和建议等。
8.问题跟踪和改进：针对审计报告中的问题和建议，制定相应的改进计划，并跟踪实施情况。
确保问题得到及时解决，改进措施得以落实。
本次信息系统审计的指南和建议，主要是为了帮助大家更好地进行计算机审计工作，提高企业的信息系统安全性和风险管理水平。
信息系统审计
信息系统审计Information system audit三颗巨星陨落：安然（2001.12.2）安达信（2002.8）世通（2001.7.21）1.低碳经济2.生物技术SPE：特殊目的实体（special purpose entity）金融工具，企业可借此在不增加资产负债表中的情况下融入资金。
对于SPE，美国会计准则规定，只要非关联方持有的权益值不低于SPE资产公允价值的3%，企业就可以不将其资产和负债人合并财务报表。
利润，其间收益，本期收入深口袋理论：任何看上去拥有经济财富的都可能受到起诉，不论其应当受到惩罚的程度如何。
第一章绪论1.1 引言ISA的发展ISA与其他学科的关系审计的相关概念企业信息化的利与弊我国信息化存在一些问题ISA必要性一、企业信息化的效率和成果近年来，企业对信息技术的投入逐年加大，信息化程度也越来越高。
促进了其经营管理水平的提高营造了管理创新氛围集中了管控能力提高了执行力加快了市场反应能力等带来意想不到的效率和成果二、给社会或企业带来的负面影响突发事件的影响：1993年纽约世界贸易大厦爆炸事件，使得当时入住的多数商业数据丧失，导致企业在这一年内的商务活动无法进行。
错误操作：不正确使用信息技术病毒：CIH（1998）匆匆上马：没有做投资风险评估成功率仅16%我国信息化存在的一些问题：规划制定不够科学项目管理不够严格监理机制不够健全系统运行效益不够明显结果：致使一部分信息化项目失败或未能实现与其目标原因之一：就其根源主要原因之一是信息化建设第三方监管机制的缺失和标准的不健全三、信息系统审计的必要性保证信息系统的可信度促进内控体系的规模建设信息系统审计已成为摆在企业管理人员案头迫切需要开展的工作结论：因此，迫切需要对正在使用或即将投产的信息系统的安全性、真实性、完整性、有效性进行验证，需要对信息系统进行审计。
1.2信息系统审计的发展一、国际信息系统审计的发展信息系统规模越大，功能越复杂，风险也就越大80年代美国且也信息系统的失效率达50%以上。
中国注册会计师审计信息系统(操作指引)
Yonyou Software Corporation
确定重要性水平
在了解被审计单位环境、数据分析（报表分析）后，项目经理可（初步） 确定重要性水平。 包括两个层级： （1）集团层面重要性（最顶级组成部分）
（2）组成部分重要性
Yonyou Software Corporation
操作说明
通过底稿平台，打开《4020A 确定重要性水平》底稿目录，点击目录链接 “点击进入重要性界面”，打开重要性界面。 或者通过界面菜单-“风险评估”—“重要性水平”，打开重要性界面。 具有相应权限的人员完成重要性水平的填写并执行后，重要性水平才可以
评估重大错报风险
数据准备 （导入及处理）
确定重要性水平和 重要账户（初步）
风险应对 （控制测试和实质性程序）
数据分析
了解和评价内部控 制
审计完成
初步业务活动
了解被审计单位及 其环境
项目归档 （提交）
Yonyou Software Corporation
19
1000（初步业务活动）底稿
（图：首次承接项目1000底稿）
Yonyou Software Corporation
数据分析
数据分析界面通用功能
右键列表 界面按钮 条件过滤
界面之间常用功能
双击穿透 余额表-明细账-凭证；辅助账之间
常用界面
余额表 明细账（可抽凭） 辅助账
综合查询工具
Yonyou Software Corporation
作业系统操作流程
新建项目 （同步/导入） 风险评估和总体审计策略 （执行）
16
Yonyou Software Corporation
数据准备—其他
2.不能采集到被审计单位财务数据时：
中国注册会计师审计信息系统(操作指引)
4
Yonyou Software Corporation
作业系统初次安装
可在单机环境下进行，运行系统安装程序UFCPA1Setup(CPA审计软件).EXE， 按照操作向导安装即可（请安装在非C盘）。 1.初次安装作业系统：根据操作向导一步步完成操作。完成安装之后，点 击桌面形成的“XXX审计信息系统V1.2”的图标，提示进行数据库初始化，
13
Yonyou Software Corporation
作业系统操作流程
新建项目 （同步/导入） 风险评估和总体审计策略 （执行）
评估重大错报风险
数据准备 （导入及处理）
确定重要性水平和 重要账户（初步）
风险应对 （控制测试和实质性程序）
数据分析
了解和评价内部控 制
审计完成
初步业务活动
了解被审计单位及 其环境
中国注册会计师审计信息系统
操作指引
1
目录（项目准备）
作业系统安装（初次、升级、彻底卸载） 作业系统操作流程 新建项目—作业系统 项目协同（项目分发、合并、同步）
数据准备
数据分析
2
Yonyou Software Corporation
目录（风险导向审计）
1000初步业务活动底稿 2000（了解企业及其环境[不包括内部控制]）底稿 3000（了解企业内部控制及其设计）底稿 确定重要性水平 确定重要账户及相关流程
根据向导完成操作即可（其中admin的密码是admin）。
建议安装环境:office2007/2010 ;win7
5
Yonyou Software Corporation
作业系统升级安装
2.后续安装升级包：直接双击最新的安装包，进行覆盖安装即可，操作同 初次安装（无需安装MSDE）。完成安装之后，进行数据库初始化，选择需 要保留的项目。相较于初次安装，还需要进行数据库升级的操作。 另外，后续导入旧项目，也需要进行数据库升级。
信息系统安全审计指南
信息系统安全审计指南1. 引言信息系统在现代社会中起着重要的作用，然而，网络攻击和数据泄露等安全威胁也随之而来。
为了确保信息系统的安全性和可靠性，信息系统安全审计变得至关重要。
本文将提供一份信息系统安全审计指南，帮助企业和组织实施有效的安全审计措施。
2. 信息系统安全审计的背景随着信息系统的日益普及和应用范围的不断扩大，各种类型的威胁也越来越多。
恶意软件、黑客攻击、数据泄露等问题对信息系统的安全构成了严重威胁。
信息系统安全审计可以通过检查和评估安全策略、控制措施以及安全实践的有效性，帮助组织提高信息系统的保护水平，减少潜在风险。
3. 信息系统安全审计的目标信息系统安全审计的目标是确保信息系统的完整性、可用性和保密性。
具体而言，信息系统安全审计应注重以下几个方面：- 评估信息系统的安全策略和控制措施的有效性；- 检查网络和系统资源的安全配置；- 确保关键数据的保护和备份措施；- 检测和预防潜在的恶意攻击和网络威胁；- 审计用户权限管理和访问控制。
4. 信息系统安全审计的步骤（1）规划阶段：- 确定审计的目标和范围；- 制定审计计划和时间表；- 确定审计所需的资源和人员。
（2）数据收集阶段：- 收集和分析相关文档和记录，如安全策略、安全控制和流程等； - 检查和分析系统日志和审计记录；- 进行系统漏洞评估和安全扫描。
（3）安全控制评估阶段：- 检查系统和网络配置，确保安全控制措施的有效实施；- 评估密码策略和访问控制机制；- 确认系统和网络的防火墙和入侵检测系统的有效性。
（4）风险评估阶段：- 识别潜在的安全风险和威胁；- 评估安全事件和事故的影响；- 制定风险管理和应对措施。
（5）报告编写阶段：- 将审计的结果和推荐措施记录在审计报告中；- 提供具体的建议和改进措施；- 向相关方沟通报告并解释审计结果。
5. 信息系统安全审计的挑战与解决方案信息系统安全审计面临着多项挑战，如技术复杂性、变动性环境和人为疏忽等。
(完整版)信息系统审计指南(COBIT中文版)
COBIT信息技术审计指南(34个控制目标)计划和组织（选择3/6/11）1 定义战略性的信息技术规划（PO1）PO域控制的IT过程：定义战略性的IT规划满足的业务需求：既要谋求信息技术机遇和IT业务需求的最佳平衡，又要确保其进一步地完成实现路线：在定期从事的战略规划编制过程中，要逐渐形成长期的计划，长期的计划应定期地转化成设置清晰并具体到短期目的的操作计划需要考虑的事项：企业的业务发展战略IT如何支持业务目标的明确定义技术解决方案和当前基础设施的详细清单追踪技术市场适时的可行性研究和现实性检查已有系统的评估在风险、进入市场的时机、质量方面，企业所处的位置需要高级管理层出钱、支持和必不可少的检查信息规范 IT资源P 效果 * 人员S 效率 * 应用保密 * 技术完整 * 设施可用 * 数据遵从可靠1.1 作为机构长期和短期计划一部分的IT高级管理层对开发和实施履行机构任务和目标的长期和短期的计划负责。
在这一方面，高级管理层应确保IT有关事项以及机遇被适当地评估，并将结果反映到机构的长期和短期计划之中。
IT的长期、短期计划应被开发，确保IT的运用同机构的使命与业务发展战略相结合。
1.2 IT 长期计划IT管理层和业务过程的所有者要对有规律地开发支持机构总体使命和目的实现的IT长期计划负责。
计划编制的方法应包括寻求来自受IT战略计划影响的相关内外部利害关系人引入的机制。
相应地，管理层应执行一个长期计划的编制过程，采用一种结构化的方法，并建立一个标准的计划结构。
1.3 IT 长期计划编制——方法与结构对于长期计划的编制过程来讲，IT管理层和业务过程的所有者应建立并采用一种结构化的方法。
这样可以制定出高质量的计划，含盖什么、谁、怎样、什么时间和为什么等基本的问题。
IT计划的编制过程应考虑风险评估的结果，包括业务、环境、技术和人力资源的风险。
计划编制期间，需要考虑和充分投入的方面包括：机构的模式及其变化、地理的分布、技术的发展、成本、法律法规的要求、第三方或市场的要求、规划远景、业务过程再造、员工的安置、自行开发或者外包、数据、应用系统和技术体系结构。
信息系统审计方案
《信息系统等级保护实施规范》：规 定了信息系统等级保护的基本要求和 保护等级的划分，是公安部针对信息 系统安全保护的规范。该规范要求被 审计机构按照等级保护要求，采取相 应的安全防护措施和管理措施，保障 信息系统的安全性和可靠性。
《计算机信息系统保密管理暂行规定 》：规定了计算机信息系统保密管理 的原则和方法，是国家保密局针对计 算机信息系统保密保护的规范。该规 范要求被审计机构建立健全保密管理 制度，采取相应的保密措施和管理措 施，保障计算机信息系统的安全性和 可靠性。
07
CATALOGUE
IT审计报告
审计报告的格式
标题
应明确指出审计报告的主题和内容，如“IT审计报告— —对公司内部系统的审计发现和建议”。
收件人
应列出接收审计报告的管理层和相关部门，以及可能涉 及的其他相关人员。
引言
应简要介绍审计报告的目的和主要内容，如“根据我们 进行的审计工作，以下是我们在公司信息系统中发现的 主要问题和建议”。
证券期货业信息系统运维管理规范等
• 《证券期货业信息系统运维管理规范》：介绍了证券期货业 信息系统运维管理的基本要求和实施要求，是中国证券业协 会和中国期货业协会针对证券期货业信息系统运维管理的规 范。被审计机构应按照该规范的要求，建立健全信息系统运 维管理制度，采取相应的信息系统运维措施和管理措施，保 障信息系统的可靠性和稳定性。
03
国家保密局《计算机信息系统保密管理暂行规定》
审计范围
工信部《信息安全风险评估指南》、《信息安全管理规范与实施细则》
财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》
国资委[2007]8号文《对中央企业实施<中央企业商业秘密保护暂行规定>的相关要 求》
审计署计算机审计实务公告第34号-关于印发信息系统审计指南——的通知
中华人民共和国审计署文件审计发〔2012〕11号审计署关于印发信息系统审计指南——计算机审计实务公告第34号的通知各省、自治区、直辖市和计划单列市、新疆生产建设兵团审计厅（局），署机关各单位、各特派员办事处、各派出审计局：信息系统审计指南——计算机审计实务公告第34号，经署领导同意，现予印发，供审计机关实施信息系统审计参考。
二○一二年二月一日— 1 —信息系统审计指南——计算机审计实务公告第34号目录第一章总则第二章信息系统审计的组织第三章应用控制审计第一节信息系统业务流程控制审计第二节数据输入、处理和输出控制审计第三节信息共享和业务协同审计第四章一般控制审计第一节信息系统总体控制审计第二节信息安全技术控制审计第三节信息安全管理控制审计第五章项目管理审计第一节信息系统建设经济性评价第二节信息系统建设管理评价第三节信息系统绩效评价第六章信息系统审计方法第七章附则— 2 —第一章总则第一条为进一步指导和规范国家审计机关组织开展的信息系统审计活动，提高审计效率，保证审计质量，制定本指南。
第二条本指南所称信息系统，是指被审计单位利用现代信息技术实现财政收支、财务收支及其相关经济业务活动的信息处理的系统。
第三条本指南所称信息系统审计，是指国家审计机关依法对被审计单位信息系统的真实性、合法性、效益性和安全性进行检查监督的活动。
第四条本指南所称审计指标，是指对审计事项的测评指标或者评价指标。
第五条信息系统审计可以作为财政收支、财务收支及其相关经济业务活动（以下简称经济业务活动）审计项目的审计内容组织开展，也可以作为独立组织的信息系统审计项目实施。
第二章信息系统审计的组织第六条信息系统审计的主要目标是通过检查和评价被审计单位信息系统的安全性、可靠性和经济性，揭示信息系统存在的问题，提出完善信息系统控制的审计意见和建议，促进被审计单位信息系统实现组织目标；同时，通过检查和评价信息系统产生数据的真实性、完整性和正确性，防范和控制审计风险。
第3205号内部审计实务指南——信息系统审计 解读(2021.01.26)
内审人员开展信息系统审计的「指南针」——中国内部审计协会邀请起草人为您解读《3205号内部审计实务指南——信息系统审计》在大智移云的今天，随着各类组织加快上系统、上云，内部审计作战的阵地也加快由账簿、制度向信息系统转变。
当前受具有IT专业背景的内审同仁占比较少、信息系统审计的实践相对偏少、且各组织信息系统审计实践呈现参差不齐的状态等因素影响，信息系统审计需求的不断增长与有效供给显著不足的矛盾愈来愈突出，已成为困扰内审同仁的一大痛点。
为了解决这一痛点，将行业标杆关于信息系统审计的最佳实践赋能内审同仁，通过规范性的操作规程和方法，以规范信息系统审计行为，控制审计工作风险，提高审计工作效率和质量，更好地为组织的战略目标服务，更充分地发挥新时代内部审计的价值，中国内部审计协会组织编写了《第3205号内部审计实务指南——信息系统审计》（以下简称《指南》）。
为帮助内审人员进一步了解《指南》的特点和主要内容，推动《指南》的学习和应用，我们邀请了《指南》起草人为您做如下解读。
一、《指南》的主要特点《指南》共分六章、14万余字，看起来像一部大部头的书，也许有的同仁一看就怕了，觉得离自己太远，心想：我不是学IT的，估计看不懂；IT虽然我略懂一二，但指南估计写得很枯燥；我是做IT审计实务的，理论性的指南管用吗？这么厚的指南，我什么时间能看完啊？还是不看了吧……如果您有上述对《指南》的刻板印象，估计起草者要难过了……事实上，起草者从开始酝酿该指南的那天起，就定下了简明易懂好用的原则，就是想让同仁们真正懂指南、用指南，帮助同仁解决信息系统审计中遇到的实际困难和实际问题。
首先，《指南》尽可能减少使用复杂的专业术语，少量的专业术语也均给出了释义，深入浅出，很容易理解。
其次，《指南》立足于审计实务，解决实际问题，几乎没有看起来空洞复杂的理论，和日常的审计工作息息相关。
第三，《指南》以风险为基础，以内部控制为重点，审计的思路、方法与常规的审计工作是相通的，完全不难理解。
信息系统全过程审计书籍
信息系统全过程审计书籍信息系统全过程审计是对一个信息系统在其设计、实施、运营和维护等全过程中所进行的系统性、全面性审计。
对于信息系统全过程审计，有很多相关的书籍可以提供参考，以下是一些值得推荐的书籍和相关内容。
1. 《信息系统全过程审计实务》该书是针对信息系统全过程审计的实践经验进行总结，从理论和实践的角度对信息系统的设计、实施、运营和维护等全过程进行了详细阐述。
内容包括信息系统审计的基本概念和原理、信息系统全过程审计的方法与技巧、信息系统审计的案例分析等。
2. 《信息系统审计与控制》该书系统地介绍了信息系统审计与控制的基本理论、方法和技巧，并通过大量的案例分析展示了信息系统审计实践中的重要问题和解决方案。
内容包括信息系统审计概述、信息系统审计计划与准备、信息系统安全性审计、信息系统运维审计、信息系统开发和采购审计等。
3. 《信息系统审计与控制实务》该书从实务角度介绍了信息系统的审计与控制方法和技巧，详细讲解了信息系统审计的过程和方法、审计工作的实施与管理等。
内容包括信息系统审计的概述、信息系统审计的工作程序与方法、信息系统审计过程中的问题与应对策略、信息系统审计报告的编写与审阅等。
4. 《信息系统审计指南》该书是一本权威性的信息系统审计指南，由国际注册信息系统审计师协会(ISACA)编写。
书中详细介绍了信息系统审计的各个方面，包括信息系统审计的目标和原则、信息系统审计的准备和规划、信息系统审计的实施和执行、信息系统审计的报告和跟踪等。
5. 《信息系统审计与安全管理》该书综合介绍了信息系统的审计和安全管理，重点讲解了信息系统审计的方法和技巧，以及信息系统的安全管理和控制。
内容包括信息系统审计概述、信息系统审计目标与方法、信息系统审计的实施与管理、信息系统安全管理与控制、信息系统风险评估与应对等。
总结起来，信息系统全过程审计是一个复杂而重要的领域，需要系统性地学习和掌握相关知识和技巧。
上述书籍提供了丰富的理论和实践内容，可以帮助读者更好地理解和应用信息系统全过程审计的方法和技巧。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
COBIT信息技术审计指南(34个控制目标)计划和组织（选择3/6/11）1 定义战略性的信息技术规划（PO1）PO域控制的IT过程：定义战略性的IT规划满足的业务需求：既要谋求信息技术机遇和IT业务需求的最佳平衡，又要确保其进一步地完成实现路线：在定期从事的战略规划编制过程中，要逐渐形成长期的计划，长期的计划应定期地转化成设置清晰并具体到短期目的的操作计划需要考虑的事项：企业的业务发展战略IT如何支持业务目标的明确定义技术解决方案和当前基础设施的详细清单追踪技术市场适时的可行性研究和现实性检查已有系统的评估在风险、进入市场的时机、质量方面，企业所处的位置需要高级管理层出钱、支持和必不可少的检查信息规范 IT资源P 效果 * 人员S 效率 * 应用保密 * 技术完整 * 设施可用 * 数据遵从可靠1.1 作为机构长期和短期计划一部分的IT高级管理层对开发和实施履行机构任务和目标的长期和短期的计划负责。
在这一方面，高级管理层应确保IT有关事项以及机遇被适当地评估，并将结果反映到机构的长期和短期计划之中。
IT的长期、短期计划应被开发，确保IT的运用同机构的使命与业务发展战略相结合。
1.2 IT 长期计划IT管理层和业务过程的所有者要对有规律地开发支持机构总体使命和目的实现的IT长期计划负责。
计划编制的方法应包括寻求来自受IT战略计划影响的相关内外部利害关系人引入的机制。
相应地，管理层应执行一个长期计划的编制过程，采用一种结构化的方法，并建立一个标准的计划结构。
1.3 IT 长期计划编制——方法与结构对于长期计划的编制过程来讲，IT管理层和业务过程的所有者应建立并采用一种结构化的方法。
这样可以制定出高质量的计划，含盖什么、谁、怎样、什么时间和为什么等基本的问题。
IT计划的编制过程应考虑风险评估的结果，包括业务、环境、技术和人力资源的风险。
计划编制期间，需要考虑和充分投入的方面包括：机构的模式及其变化、地理的分布、技术的发展、成本、法律法规的要求、第三方或市场的要求、规划远景、业务过程再造、员工的安置、自行开发或者外包、数据、应用系统和技术体系结构。
已做出选择的好处应被明确地确定下来。
IT 长期和短期计划应使绩效指标和目标合并在一起。
计划本身还应参考其它的计划，比如机构的质量计划和信息风险管理计划。
1.4 IT 长期计划的变更IT管理层和业务过程所有者应确保及时、准确地修改IT长期计划的过程的到位，以适应机构长期计划的变化和IT环境的变化。
管理层应建立一个IT长期和短期计划开发和维护所需要的政策。
1.5 IT 功能的短期计划编制IT管理层和业务过程的所有者应确保IT长期计划有规律地转换成IT短期计划。
这样的短期计划应确保适当的IT功能资源以与IT长期计划内容相一致的基础上来分配。
短期计划应定期地进行再评估，并被作为适应正在变化的业务和IT环境所必须的事项而改进。
可行性研究的及时执行应确保短期计划的实行是被充分地启动的。
1.6 IT 计划的交流管理层应确保IT长期和短期计划同业务过程所有者以及跨越机构的其他相关部门人员的充分沟通。
1.7 IT 计划的监控和评估管理层应建立一个流程，获取和报告来自业务过程所有者和用户有关长期和短期计划的质量及有效性的反馈。
获取的反馈应予以评估，并在将来的IT计划编制中加以考虑。
1.8 现有系统的评估在开发或变更战略规划或长期计划、IT计划之前，IT管理层应按照业务自动化的程度、功能性、稳定性、复杂性、成本、优势和劣势，评估现有信息系统，以确定现有系统支持机构业务需求的程度。
对高级和详细的控制目标进行审计：获得了解：访谈：首席执行官（CEO）首席运营官（COO）首席财务官（CFO）首席信息官（CIO）IT计划/指导委员会成员IT高级管理层和人力服务职员获得：与计划编制过程想关联的政策和程序高级管理层的指导角色和责任机构的目标和长短期的计划IT的目标和长短期的计划状况的报告和计划/指导委员会的会议纪要评估控制：考虑是否：IT或者业务的企业政策和程序选择了一种结构化的计划编制方法方法到位，以便明确地表达并能够修改计划，起码它们要包括：•机构的使命和目的•支持机构使命和目的的IT初始• IT初始的机遇• IT初始的可行性的研究• IT初始的风险评估•当前和未来IT的最佳投资•反映企业使命和目的变化的IT初始的再造•数据应用、技术和机构可选择战略的评估机构的变化、技术的发展、规章的要求、业务过程的再造、员工的安置、自己开发和外包，等等被考虑，并在计划编制过程中充分地从事长短期的IT计划存在，是当前的，充分针对全部企业、它的使命和关键的业务职能部门IT项目由IT计划编制方法中确定的适当文档所支持确保IT目标和长短期计划持续地满足机构目标和长短期计划的检查点存在由过程所有者和高级管理层评价和结束的IT计划发生根据业务自动化程度、功能性、稳定性、复杂性、成本、优势和弱点，IT计划评估现有的信息系统对信息系统及其支持的基础设施的长期计划编制的缺乏，导致系统不能支持企业的目标和业务的过程，或者不能提供适当的完整、安全和控制评定遵从性：测试：来自反映计划编制过程的IT计划编制/指导委员会的会议纪要计划编制方法的可交付使用物的存在，作为预先的规定相关IT的初始被包括在IT长短期的计划当中（也就是硬件的变化、容量计划编制、信息体系结构、新系统开发或获取、灾难恢复计划编制、新处理平台的安装，等等）IT初始支持长短期计划，并要考虑调查、培训、人员安置、设施、硬件和软件的需求IT初始的技术含义已经被确定最优化当前和将来IT投资的考虑已经给出IT长短期计划与机构的长短期计划和组织的需求保持一致计划已经发生改变，以反映正在变化的条件IT长期计划定期转化成短期计划存在实现计划的任务证实没有满足业务目标的风险：执行：依照类似的机构或者适当的国际标准/公认的行业最好实践的战略IT计划的基准确保IT初始反映机构的使命和目的的IT计划的详细评价决定是否机构之内已经知道的虚弱区域正在被确认为计划当中IT解决方案的一部分而加以改进的IT计划的详细评价确定：满足机构使命和目的的IT失败与长期计划相匹配的短期计划的IT失败满足短期计划的IT项目的失败满足成本和时间准则的IT失败错过的业务机遇错过的IT机遇2 定义信息体系结构（PO2）控制的IT过程：定义信息体系结构满足的业务需求：优化信息系统的机构实现路线：创建并维护一个业务信息模型，确保定义适当的系统，以优化信息的使用需要考虑的事项：自动化的数据存贮和字典数据语法规则数据所有权和关键性/安全性程度分类表述业务的信息模型企业信息体系结构标准信息信息规范 IT资源P 效果人员S 效率 * 应用S 保密技术S 完整设施可用 * 数据遵从可靠2.1 信息体系结构模型信息应与需求保持一致，并应以某种格式和期限进行识别、获取和交流，而这些格式和期限能使人们及时、有效地履行他们的职责。
相应地，围绕企业的数据模型和相关的信息系统，IT的职能应是建立并有规律地更新信息体系结构模型。
信息体系结构模型应与IT长期计划保持一致。
2.2 企业数据字典和数据语法规则IT的职能应确保包含机构数据语法规则的企业数据字典的建立以及持续的更新。
2.3 数据分类方案在按信息类别（如安全类）进行分类的数据放置以及所有权分配方面，应建立一个总体的分类框架，应适当定义各类别的访问规则。
2.4 安全等级对于上述确定的每一个“不需要保护”级别以上的数据分类，管理层应定义、执行和维护这些安全等级。
对于每一个分类来讲，这些安全等级应描述适当的（最小的）一套安全和控制尺度，应定期进行再评估并做相应的修改。
对于区域范围广阔的企业，应建立支持不同安全等级的标准，以适应正在发展的电子商务、移动计算和远程办公环境的需要。
对高级和详细的控制目标进行审计：获得了解：访谈：首席信息官（CIO）IT计划/指导委员会成员IT高级管理层安全官获得：与信息体系结构相关的政策和程序信息体系结构模型支持信息体系结构模型的文档，包括企业数据模型企业数据字典数据所有者政策高级管理层指导的角色和责任IT的目标和长短期计划状况报告和计划编制/指导委员会会议纪要评估控制：考虑是否：IT政策和程序选择了数据字典的开发和维护用于修改信息体系结构模型的过程是以长短期计划为基础的，考虑了相关成本和风险，并且该模型变化之前，要确保高级管理层同意有一个过程用来保持数据字典和数据语法规则处于最新状态有一个媒介用来分发数据字典，确保开发区域的可达性并立即反映变化IT政策和过程要选择数据的分类，包括安全种类和数据所有者，数据分类的访问规则要被清晰和适当地定义要为那些不包含数据分类标识符的数据资产定义缺省的分类标准IT政策和程序要选择以下内容：•需要数据所有者（在数据所有者政策上定义）的授权过程要到位，以便批准该数据的所有访问以及数据的安全属性•每一个数据分类的安全等级要被定义•访问等级被定义，并且对于数据分类来说是适当的•访问敏感数据需要清楚的访问级别，数据的提供要以“需要知道”为基础评定遵从性：测试：信息体系结构模型上的变化，确定这些变化反映了IT长短期计划及其所确定的成本和风险评估数据字典的任何修改以及数据字典上变化的影响，确保它们被有效地沟通各种运作的应用系统和开发项目，以确定数据字典被用作数据定义足够的数据字典文档，以确定这些文档为每一个数据项定义了数据的属性和安全等级数据分类、安全等级、访问等级和缺省的适当性每一个数据分类都要清晰地定义：•谁可以访问•谁对决定适当的访问级别负责•所需访问的明确批准•访问的特定需求（也就是非披露或者保密性协议）证实没有满足业务目标的风险：执行：依照类似机构或适者国际标准/公认的行业最好实践的信息体系结构模型的基准针对关键元素的完整性，数据字典的详细评价对定义为敏感数据的安全等级的详细评价，以校验访问的适当授权被获得，被许可的访问与定义在IT政策和程序中的一致确定：信息体系结构模型和企业数据模型、企业数据字典、相关信息系统以及IT长短期计划中的矛盾过时的企业数据字典项和由于数据字典变化的不良的沟通丧失了时效性的数据语法规则？？？所有者不清楚和/或没有适当定义的数据项没有被适当定义的数据分类与“需要才能知道”的原则不一致的数据安全等级3 决定技术方向（PO3）控制的IT过程：决定技术方向满足的业务需求：利用目前可用的和正在出现的技术，推动业务战略的实施并使业务战略成为可能实现路线：建立并维护技术基础设施计划，该计划，依据产品、服务和交付机制，建立并管理技术能够提供的清晰和现实的预期需要考虑的事项：当前基础设施的容量通过可靠的来源，监测技术发展引导概念的检验风险、约束和机遇获取的计划移植战略和路线与供应商的关系独立的技术再评估硬件和软件的性能/价格比的变化信息规范 IT资源P 效果人员S 效率应用保密 * 技术完整 * 设施可用数据遵从可靠3.1 技术基础设施计划编制IT的职能部门应建立并有规律地更新与IT长期和短期计划保持一致的技术基础设施计划。