信息系统审计报告

信息系统审计报告

信息系统审计报告

段3结论段4结尾段。（正文段：

1审计目的2审计步骤及时间3审计依据4采用的技术与方法5审计发现）独立性问题决定了信息系统审计的质量。分为形式上的独立性（审计师与被审计企业无任何特殊的利益关系）和实质上的独立性（审计师的超然性，不依赖和屈从于外界压力的影响）审计准则对“独立性”的阐述1职业独立性（对于所有与审计相关的事物，信息系统审计

师应当在态度和形式上独立于被审计单位）2组织独立性（信息系统审计职能应当独立于受审查的范围或活动之外，以确保审计工作完成的客观性）3审计章程或委托书中应当针对审计职能的独立性和义务做出相应的规定4信息系统审计师应该在审计过程中随时保持态度和形式上的独立性5如出现独立性受损的现象，无论是在实质上还是形式上，应向有关当事人披露独立性收损的细节6信息系统审计师应当在组织上独立于被审计的范围7信息系统审计师、管理层和审计委员会应当定期地对独立性进行评估。8除非被其他职业标准或管理机构所禁止，当信息系统审计师虽然参与信息系统项目，但所担当的并不是审计角色时，并不要求信息系统审计师保持独立性。业务持续计划是企业应对种种不可控义素的一种防御和反映机制。灾难恢复计划是造成业务停顿后，如何以最短时间、最少损失恢复业务的方案。影响业务持续能力的因素有：

1应用系统灾难2自然灾难3人为灾难4 社会灾难。

U4业务持续计划是企业应对种种不可控因素的一种预防和反应机制，而灾难恢复计划则是造成业务已经停顿后，如何以最短时间、最少损失恢复业务的处理预案。前者立足于预防，后者立足于事后的补救。业务持续计划目的为了防止企业正常业务行为的中断而建立起来的计划作用：

确保企业的主要业务流程和运营服务，包括支撑业务的信息系统以及设施，能够在事故发生后持续运行保持一定程度的服务，并能尽快的恢复事故前的服务水平。它的制定并不意味着企业不再受任何事故的影响。难恢复计划与业务持续计划的区别灾难恢复计划是基于假定灾难发生后造成业务已经停顿企业将如何去恢复业务，立足于把损失减小到最低程度；业务持续计划基于这样一个基本原则及无论发生任何意外事件组织的关键业务也不能中断，立足于建立预防机制，强调使企业业务能够抵御意外事件的打击，灾难恢复计划是对业务持续计划的必要补充。业务持续计划的实施包括的阶段项目启动、风险评估、业务影响分析、业务持续性策略规划、业务持续性计划编制、人员培训及训练、业务持续性计划测试与演练以及业务持续性计划更新等主要阶段。其中，风险评估、业务影响分析、计划演练、计划更新是关键因素。业务影响分析的目的通过客观的分析，掌握各关键业务可容许中断的最大时间长度，从而制定各关键业务的恢复时间目标、最低的恢复要求、恢复次序以及支持各关键业务恢复所需的各项业务资源。业务影响分析是制定业务持续计划传统步骤中最耗时和最关键的一步，用的是系统化的方法。影响业务持续能力的因素（信息系统灾难）人为因素（分为社会灾难和人为灾难，如人为破坏、攻击系

统、管理疏忽）非人为因素（分为自然灾害和应用系统灾害）。防火墙比喻隔离在本地网络与外界网络之间的一道防御系统，是一类防

范措施的总称。作用防止不希望的、未经授权的通信进出被保护的网络，它真正发挥的还必须有企业内部的安全管理措施的配合。目的1限制他人进入内部网络、过滤掉不安全的服务和非法用户2防止入侵者接近你的防御设施3限定用户访问特殊站点4为监视互联网安全提供方便。分类1包过滤型防火墙2代理服务型防火墙3复合型防火墙（结合以上的两种）。包过滤型防火墙通常安装在路由器上，逻辑简单，价格便宜易于安装和使用，网络性能和透明性好。包过滤技术是在网络层对数据包进行选择检查，与应用层无关。这样系统就具有很好的传输性能，可扩展能力强。缺陷：

可能被黑客攻击；被窃听或假冒。代理服务型防火墙构成服务器端程序和客户端程序。与包过滤防火墙不同，内、外网间不存在直接的连接，从而起到了隔离防火墙内外计算机系统的作用。代理服务会形成日志，保留攻击痕迹。木马是一类特殊的计算机病毒。基本特征诱骗性、隐蔽性、危害大。计算机病毒是一种人为编制的破坏计算机功能或者毁坏数据、影响计算机使用并能自我复制的一组计算机指令或者程序代码。特点传染性（是计算机病毒最重要的特征，是判断一段程序代码是否为计算机病毒的依据。按传染机制会分为引导型病毒和文件型病毒。文件型病毒主要感染文件扩展名为.，.exe，.ovl等可执行程序为主，引导型病毒会改写磁盘上引导扇区和硬盘上分区表的内容，使软盘和硬盘被病毒感染）、潜伏性、破坏性（表现：1破坏文件和数据，造成用户数据丢失和损坏2抢占系统和网络资源，造成系统瘫痪，网络阻塞3破坏操作系统和硬件设备，导致系

统崩溃，无法恢复）。黑客攻击总是利用技术缺陷和软件漏洞等来进行种类拒绝服务攻击、IP欺骗攻击、系统漏洞攻击。业务持续能力审计包括：

1业务连续性管理过程中包含的信息安全2业务连续性和风险评估3制定和实施包含信息安全的连续性计划4业务连续性计划框架5测试、维护和评估业务的连续性计划。灾难恢复计划是对于紧急事件的应对过程。关键信息系统的备份与恢复，核心内容是灾备中心的设置、选址、运营管理和切换等。

容灾能力评价：

ROP即数据丢失量，代表了当灾难发生时信息系统所能容忍的数据丢失。PTO即系统恢复时间，代表了从遭难发生到业务恢复服务功能所需要的最长时间。国际标准定义的容灾系统7层次0级无异地备份（这种容灾系统成本较低，易于配置。该级别容灾系统对数据丢失的容忍度在数天以上）1级备份介质异地存放（成本低，易于配置容忍度在数天以上）2级备份介质异地存放及备用场地（虽然移动数据到热备份站点增加了成本，但缩短额灾难恢恢复的时间，大约在

1、2天）3级电子链接4级活动状态的被援站点（地理上分开的两个站点同时处于工作状态，相互管理彼此的备份数据，几个小时）5级实时数据备份（两个站点数据相互镜像，仅在传输中尚未完成提交的数据会丢失几秒）6级零数据丢失（可以实现零数据的丢失，但是贵，几乎没有中断的恢复方式）。这个等级划分的目的是让企业清楚为什么要从业务层面作遭难恢复，不同的业务应采取什么样的手段。灾备中心的模型1热备份型灾备中心（指两个信息中心完全同步，任一发生事故对用户不产生影响但是实现的技术难度大、成本高；同步