关于信息系统审计内容的研究

摘 要 ：信 息 系统 审计在 我 国尽 管起 步较 晚 ，但 其 重要 性 日渐 明显 。刘 家义 审计 长明确 指 出，信 息 系统 审计要 抓住 三 个关键点 ，即安全性、有效性 （ 可靠性 ） 和经济性。因此信息系统审计的内容也成为审计人 员关注的问题 ，本文将通过分 析 信 息 系统 审计 的概 念及 目标 ，总结 出审计 机 关进行 信 息 系统审计 的 主要 内容 。 关键 词 ：信 息 系统 ；审计 ；安 全 ；计 算机技 术 中图分类号：Ｆ ３ 文献标识码 ：Ａ ２９ 文章鳊号：１０— ５９（ ０ １ ３ ００一 ｌ ０７ ９９ ２ １ ）２— ０６ Ｏ
一
、
而 且 进行 协议 分析 和还 原 ，可达 到 审计服 务器 、用 户 电脑 、数据 库 、应用 系统 的审 计安全 漏 洞 、合法 和非 法或 入侵 操 作 、监控 上 网行 为和 内容 、监控 用户 非 工作 行为 等 目的 。 （ ）信 息系 统数据 完整 性 审计 二 根 据 上述 对 数 据 完 整 性 的定 义 ，我 们 可 以确 定 数 据 完 整性 审计 应 包 括 以下几 个 内容 ： １应 用 控 制 审 计 。应 用 控 制 审 计 是 ． 直 接针 对 业 务 系 统 根据 用 户 反 馈 、用 例 测 试 结 果 、 实 际业 务 数
Ｉ ｆ ｒ ａ ｉ ｎ ｓ ｓｅ ｄ ｔＣｏ ｔ ｎ ｔ ｄ ｓ ａ ｃ ｎ ｏ ｍ ｔ ｙ ｔ ｍ Ａｕ ｉ ｎ ｅ ｔ ｕ ｙＲｅ ｅ ｒ ｈ ｏ Ｓ
Ｗ ａ ｇ Ｈｕｌ 。 ａ ｇＺｅ ｇ ｕ ， ａ ｎ ｎ ｉｎ Ｗ ｎ ｎ ｈ ｉ ｉ Ｇｕ ｎ Ｎｉｇ
（ｃ ｏ ｌｆｎｏｍａｉ ｃ ｎ ｅ ｉ ｇｉ ｌ ｒｌ ｎ ｅｓ ｙＣ ａ ｇ ｈ ｎ １ ０ ８Ｃ ｉ ） Ｓ ｈ ｏ ｏ ｆｒ ｔ ｎＳ ｉ ｃ ，ｌ Ａ ｒ ｕ ｕａ Ｕ ｉ ｒｉ ，ｈ ｎ ｃ ｕ １ ，ｈｎ Ｉ ｏ ｅ Ｊｉ ｎ ｃｔ ｖ ｔ ３ １ ａ
计算 机光 盘软 件 与应 用
信 息技术应用研 究
Ｃ ｍ ｕ ｅ Ｄ Ｓ ｆ ｗ ｒ ｎ ｐ ｌ ｃ ｔｏ ｓ ｏｐ ｔ ｒ Ｃ ｏ ｔ ａ ｅ ａ ｄ Ａ ｐ ａ ｎ ｉ ｉ ２１年第 ２ ０１ ３期
关于信息系统审计 内容的研究
王 慧林 ，王增辉 ，关 宁 （ 吉林农业大学信 息学院 ，长春 １０ １ ３ １８）
ａａ ｚ ｅｎｏｍａｉ ｓ ｍ ｕｉｎ ｎ ｅｔａｄ ｂｅｔ ｅ， ｍｍｅ ｅｎｏｍａｏ ｓ ｍｓ ｕ ｔｎｔｕ ｏ ｓ ｄｔｈ ｎ ｌ ｅ ｆ ｔ ｎｓ ｔ ｓ ｄｔ ｇｃ ｃｐｓ ｎ ｊｃｖ ｓｕ ｙ ｔ ｉ ｒ ｏ ｙｅ ａ ｉ ｏ ｈ ｏ ｉ ｓ ｄ ｐｔ ｆｒ ｔ ｎｓ ｔ ｄ ｓｔｔ ｎ ａｉ ｅ ｕ ｈｉ ｉ ｙ ｅ ａｉ ｉ ｉ ｉ ｔ ｕ ｔ ｏ
Ｃｌ ａ ｔ ｔ ｈ ｅ ｅ ｒ ｈａ ｔ Ａｕ ｉｏ Ｇｅ ｅ ａ Ｌｉ Ｊａ ，ｎ ｏ ｍａ ｉｎ ￣ ｔｍ ｓ ｕｄｔ ｏ ｅｚ ｔ ｒ ｅ ｄ ｔｒ ｎ ｒ ｌ ｕ ｉｙｉ ｆ ｒ ｔｏ ｓ ｅ ａ ｉ ｔ ｓ ｉｅ ｈ ｅ ｋｅ ｐ ｎ ｓｎ ｍｅ ｙｓ ｆｔ，ｆｅ ｔｖ ｎ ｓ ｉ ｙ ｏｉｔ，ａ ｌ ，ａ ｅｙｅ ｃ ｉｅ ｅ ｓ
整性 。
（ ）信 息 系统 合规 性审 计 三 合 规性 审查 主要 包含 技术 合规 性 。技 术合规 性 是指被 审计 对 象 开发 技术 是否 符合 软件 工程 国家标 准 ， 括基 础标 准 （Ｓ ００ 包 ＩＯ９０ 标 准族 ） 以及开 发标 准 、文档 标准 、管 理标准 （Ｂ标 准族 ） 。 Ｇ 系 统 合 规 性 的 主要 审 计 内容 就 是进 行 代 码 审 计 辅 以数 据 审 计 ，简 单 的说就 是 审计代 码规 范 性 ，代码 安全 性 （ 例如 ，在 对某
０ ． １ ７ ６： ３
［ 浅析网络安全审计原理和技术． ｔ： ｎ ｔｃｒｙ５ｃ ｏ ３ 】 ｈ ｐ／ ｅ ｅｕｉ ．１ｔ ｍ ｔ ／ ｓ ｔ ｃ
２０ ０ ９： １ ， ２４
‘
Hale Waihona Puke ——６— —
四 、总结
本 文通 过 对 国 内信 息系 统 审 计 发 展 现 状及 相 关 理 论 政 策 研 究 ，推 理 出审 计机 关信 息系 统 审计 的概念 及 目标 ，根 据信 息系 统 审计 目标 总结 了在 我 国审计 机关 开展 信 息系统 审计 的主要 内容 ， 即信 息系 统资 产安 全性 审计 、数 据完 整性 审计 、合 规 性审 计 ，并 详 细 阐述 了这 三方 面审计 的具 体 内容 。 参 考 文献 ：
ｍａｎ ｏ ｔｎｔ ｉ ｃ ｎｅ ．
Ｋｅ ｗｏ ｄ ：ｎ ｏ ｍａ ｉｎ ｓ ｓｅ Ａｕ ｉ Ｓ ｃ ｒ ￣ Ｃｏ ｕ ｅ ｃ ｎ ｌ ｇ ｙ ｒ ｓＩ ｆ ｒ ｔ ｙ ｔ ｍ； ｄ ｔ ｅ ｕ ｉ ｒ ｍｐ ｔｒ ｅ ｈ ｏ ｏ ｙ ｏ ； ｔ； ｔ
我 国信 息 系统 审计 发展 现状 ２ ０ 年 大连 中行 员工 翟 昌平 因利 用 银行 系 统 漏洞 窃 取 银行 ０５ ８０ 万 美元 现金 而 落 网 ，同年 ，相 继在 黑龙 江 、重庆 类似 的案件 ０ 频有 发 生 。这些 案 件 的破获 均是 在 企业 进行 内部 信 息系 统审 计时 发现 的 。２ ０ ０ ６年许 霆 因利用 银行 取款 机漏 洞窃 取 银行 １． ７５万元 现金 的 落 网 。 别近 两 年 以来 时有地 方政 府 网站 被恶 意篡 改 ，０８ 特 ２０ 年 荆州 市 商务 局 的网站 被 “ ” 黑 ，据 国 内信 息 安全 机构 报道 ， 整个 ２ ０ 年 ，全 国平均 每 天有 ｌ％ 的政 府 网站 被 “ ” ０９ 黑 ，其 中主 要 原 因是 口令过 于 简单 和文 件漏 洞太 多 。 以上种 种 案件 表 明 ，所 有 案件 均是 在 事后 ，都 是 已经对 国家 人 民财 产造 成 了危 害损 失后 发现 的， 怎样才 能避 免 这类 情况 的发 生 ，信 息 系统 安全 防 范工 作 已经成 为信 息 时代 的主 要 问题 ，对信 息 系 统开 展 安全 审计 已经 成 为审 计机 关保 护 国家财 政财 务 安全 ， 充 分 发挥 审计 “ 免疫 系统 ”功 能 的重要 措施 。 二 、信 息系统 审 计概 念 与 目标 到底 信 息系 统审 计应 如何 定 义呢 ？美 国信 息 系统 审计 学科 的 领 跑 者 Ｒ ｎ ｅｅ ｏ ｂｒ给信 息 系统 审计 做 出了如 下概 括 ； 收集 并评 估 Ｗ “ 证 据 ， 以判 断一 个信 息系 统 是否 有效 做 到保护 资产 、 维护 数据 完 整 、 完 成组织 目标 ，同 时最经 济 的使 用资源 ” 。 根据 信 息系 统审 计 的概 念 ，我们 可 以总 结 出审计 机 关开 展信 息系 统 审计 的 目标是 ：确认 资产 安全 性 、保 证数 据完 整性 、认 定 系统 合 规性 。 三 、审 计机 关开 展 信息 系统 审计 的 内容 （ ）信息 系统 资 产安全 性 审计 一 那 么 信 息 系 统 审 计 需要 做 那 些 事 情 才 能 有 效 控制 资产 安 全 呢 ？我 们要 从 以下 几个 方面 着手 ：１对 系统 基础 设 施及 环境 的 审 ． 计 。审 计范 畴 为 ：硬件 环境 与 防灾 、主 机硬 件 安全 、底 层支 撑系 统 安全 、通 信线 路 安全 、数 据存 储／ ０ 安全 、物 理访 问控制 。２ １ ． 网络 安 全审 计 。 目前 的网络 安全 审计 的解 决 方案 有 以下几类 ： 日志审 计 ： 目的是 收集 日志 ，通 过 ＳＭ 、Ｓ ＳＯ 、Ｏ ＳＣ或 ＮＰ Ｙ ＬＧ ＰＥ 者其 他 的 日志接 口从 各 种 网络设 备 、 务 器 、用户 电脑 、数据 库 、 服 应用 系 统和 网络 安全 设 备 中收集 日志 ，进行 统一 管理 、分析 和报 警。 主机 审 计 ：通过 在 服务 器 、用户 电脑或 其他 审计 对 象 中安装 客户 端 的方 式来 进行 审 计 ，可达 到 审计 安全 漏洞 、审 计合 法和 非 法 或 入侵 操 作 、监控 上 网行 为和 内容 以及 Ｉ＃ 拷 贝文件 行 为 、监 ￣１ － 控 用户 非 工作 行 为等 目的。 网络 审计 ： 通过 旁路 和 串接 的方式 实现 对 网络 数据 包 的捕获 ，
（ ｌ ｂ ｉ ） ｄ山ｅｅｏ ｏ ｙ ｈ ｒｆｒ， ｅｃｎｅ ｔ ｆ ｎｏｍａ ｏ ｓ ｍｓ ｕ ｉ ｈ ｓ ｅｏ ｏ ｃｒ ｆ ｕ ｉ ｒ ｔｉ Ｐ ｒ ｉ ｒ ｉ ｉｔ ａ ｅａ ｌ ｎ ｙ ｃ ｎ ｍ ． ｅ ｏｅ ｏ ｔ ｆ Ｔ ｅ ｈ ｔ ｎ ｏ ｉ ｒ ｔ ｎｓ ｔ ｄｔ ａ ｃ ｍｅａｃ ｎ ｅ ｏ ｄ ｏｓｈｓ 印ｅ ｗ ｌ ｉ ｙｅ ａ ｂ ｎ ａ ｔ ， ｌ
商 业银 行进 行 审计过 程 中发现 ，由于 代码 员 的经验 问题 ，在 撰 写 计 算还 款利 息 时的 公式 时发 生错误 ，导致 每笔 还款 利 息多计 算 １
分 钱 ） ，关键 处理流 程 正确性 （ 此处 旨在 检查 业务 逻辑 是否 符合 相 关 的法律 法规 以及 规章 制度 ），后 门 、调试 与逻 辑炸 弹 ， 以此 来 保证 系 统的 正确性 和合 规性 。
Ａｂ ｔ ａ ｔＩ ｆ ｒ ｔ ｎ Ｓ ｓｅ ｄｔａ ｄ Ｃｏ ｔ ｌ ｎ Ｃｈｎ ｅ ｐｔ ｈ ｔ ｔｒ．ｕ ｔ ｉ ｏ ｔｎ ｅ ｉ ｉｃ ｅ ｓｎ ｌ ｐ ａ ｅ ｔ ｓｒ ｃ ： ｏ ｍａｉ ｙ ｔｍｓ Ａｕ ｉ ｎ ｎｒ ｉ ａｄ ｓ ｉ ｔｅ ｌ ｅ ｓ ｔ ｔ ｓ ｍｐ ｒ ｃ ｎ ｒ ａ ｉｇ ｙ ａ ｐ ｒ ｎ ． ｎ ｏ ｏ ｉ ｅ ａ ａ ｂ ｉ ａ ｓ
【 Ｒｏ ｅ ｅ 主编 ． ｆｒ ａ ｏ ｓ ｍ ｏ ｔ ｌ ｎ ｕ ｔ ０ １ １ ｎ ｂｒ ］ ｗ Ｉ ｏ ｍ ｔ ｎＳ ｔ ｓ ｎ ｏ ａ ｄ ｎ ． ０ ｎ ｉ ｙｅ Ｃ ｒ Ａ ２
【 王智 玉． 息 系统 审计是做 什 么的． ２ 】 信
ｈｔ： ｈｊｇ ． ｅ ｕ ｎ ｗｅ ／４ ／０ ４ ７ ２ １０ ４ ８ ３ ｔ ｌ ０ ｔ ／ ｎ ｈｈ ｄ ． ／ ｂ １７ ２ ０ ０ ／ ８ ２ ９ ３ ４ ． ｍ ， ｐ ／ ｙ ｎ ｃ ｈ ２
据 、代码分析结果发现系统风险及其对业务的直接影 响。２ 输 ． 入 输 出控 制 审 计 ： 输 入控 制 审计 要 点 ：Ｃ Ｎ Ｒ ＬＴ Ｔ Ｌ 、 多 点 ＯＴ Ｏ ＯＡ Ｓ
录入 、终 端访 问控 制 、Ｓ ｓ ｉｎ窗 口控制 。输 出控 制 审计 要 点 ： ｅ ｓｏ 访 问控 制 、缓 冲 区 安全 、派 发 路 径 安全 。３ 数 据 审计 。通 过 直 ． 接 获取 数 据 库 数 据 ，对 实体 完 整 性 、用 户 定 义 完整 性 、参 照 完 整 性 、 域完 整 性 的 验 证 ，来 确 认 信 息 应用 系 统 设 计 和获 取 的 完