外审员信息安全篇（1）

一、信息系统审计的内涵和外延难以把握

随着信息技术的发展，信息系统在财务、管理领域的应用程度不断提高，功能日趋完善，其软硬件结构的复杂性和涉及领域的广泛性以及信息处理技术更新的频繁性使得审计人员难以同步把握信息系统审计的内涵和外延。从外延上看，信息系统审计主要包括两个部分，一是对信息系统主体的审计，二是对信息系统应用环境的审计，包括网络环境、使用环境、管理使用情况等。一般说来，审计信息系统本身相对容易，但审计信息系统的应用环境却存在较多不确定因素，比如某公司的信息系统通过防火墙连接到互联网，而在防火墙内还存在其它系统，其它系统是不是也在审计范围之内？

从内涵上看，信息系统审计主要是对信息系统的安全性和可靠性进行评估、评价。安全性、可靠性是一个比较广泛的概念，以系统安全性为例，它包括：ISO开放系统互连安全体系结构、TCP／IP安全体系、开放系统互连的安全管理、安全服务和功能配置；系统安全涉及的信息安全技术包括：密码技术、访问控制技术、机密性和完整性保护技术、数字签名技术、抗抵赖技术、预（报）警机制、公证技术、防火墙技术、漏洞检测技术、网络隔离技术、计算机病毒防范等。由于信息技术本身的限制性，绝大部分信息系统本身均存在安全性问题（如防护级别最高、防护技术最好的美国国防部也常有被攻击的情况）。

把握不准信息系统审计的外延和内涵，就难以解决以下三个问题：一是难以解决审计力量与审计任务之间的矛盾，难以控制审计风险，即不该审的审了，该审的却未审；二是由于绝大部分信息系统本身均存在安全性问题，信息系统审计很容易演变成“信息系统是否存在问题源自于审计人员的技术水平，而不是系统本身的安全性和可靠性”，即，绝大部分信息系统均存在不安全、不可靠因素，就看审计人员能否发现由于信息系统的安全性问题是绝对的，而审计人员的视角和技术水平是相对的，信息系统审计的成果部分取决于审计人员对信息系统审计内容的把握程度；三是由于审计需要大量的证据支撑，对于未造成损失但信息系统存在不安全隐患的问题难以定性,即便是造成了损失，也难以界定这些损失与信息系统不安全、不可靠因素之间联系。

因此，审计部门应根据“全面审计、突出重点”及“先易后难”、“先系统本身后系统环境”的原则，参照国家信息技术部的有关标准，界定信息系统工作的外延和内涵，将信息系统审计的主要方向定在：被审计单位的信息系统的安全性、可靠性是否达到应有的水平或标准，而不是系统是否有安全性和可靠性问题。

二、信息系统审计评价标准很难确定

信息系统安全审计，涉及会计信息处理自动化、表示代码化、信息处理与存储集中化、内部控制程序化等诸多广泛、复杂的计算机专业技术环节，其技术性较高。而我国信息系统审计正处于起步阶段，对审计机关如何开展信息系统审计尚在积极探索中，因此，目前尚没有一个完整的、成熟的具有示范作用的审计案例，也缺少具备实际指导意义的相关信息系统审计准则和操作指南。

近年来，国家安全部门相继出台了多个安全标准，例如公安部出台的《计算机信息系统安全保护等级划分准则》（GB17859－1999）、《信息安全等级保护管理办法》，还有相应的安全技术规范《信息安全技术 信息系统通用安全技术要求》（GB／T20271－2006）、《信息安全技术 网络基础安全技术要求》（GB／T20270－2006）、《信息安全技术 操作系统安全技术要求》（GB／T20272－2006）、《信息安全技术 数据库管理系统安全技术要求》（GB／T20273－2006）、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》（GA／T671－2006）等技术标准。但在实际操作中，这些标准在可操作性上还有待提高，一是信息系统安全等级的确定，缺乏一个等级认定的部门，目前是由各个单位自己定级报送，会存在低报等级风险；二是等级要求没有量化和详细解释，等级认定存在困难。这些都给具体的审计实务工作带来极大的困难。

因此建议审计部门及时组织总结实践经验，规范信息系统安全审计的有关概念、审计内容、工作流程和技术方法、形成信息系统安全审计准则、操作指南或实务公告的准则体系，这是信息系统安全审计得以健康发展的基础。

三、信息系统审计缺乏相应的人才

我国目前尚缺乏既熟悉审计业务又掌握计算机技术同时了解国内标准信息系统流程的复合型人才，进行信息系统审计所涉及的知识面非常广，涉及会计、审计、管理和计算机等知识，而进行信息系统安全性审计主要从系统总体安全、系统运行安全、数据中心安全、硬件设备安全和网络安全情况五个方面来进行，每个方面都涉及不同的知识点。当对系统总体安全进行审计时，则要求审计人员具有系统总体分析、系统设计和系统安全分析的知识；当对系统运行进行审计时，则要求审计人员具有系统运行管理、系统维护和系统安全管理的知识；当对数据中心安全进行审计时，则要求审计人员具有工程建设、数据中心安全维护和灾备等知识；当对硬件设备安全进行审计时，则要求审计人员具有设备采购、设备维护和设备安全分析等知识；当对网络安全情况进行审计时，则要求审计人员具有网络安全分析和网络防范等知识。但在当前情况下，审计人员能够掌握上述某一方面的知识都已经难能可贵，更不用说要掌握所有的知识面。

建议审计部门加强对审计人员理论培训，并组织审计人员进行实践，通过实践经验来巩固理论知识，培养出更多的信息系统审计复合型人才和相应的专业性人才。

四、信息系统审计需要相应的法规支持和成果考核标准

我们通常依据《中华人民共和国审计法》、《中华人民共和国审计法实施条例》及《国务院办公厅关于利用计算机信息系统开展审计工作有关问题的通知》（〔2001〕88号）的规定：“被审计单位应当按照审计机关的要求，提供与财政收支、财务收支有关的电子数据和必要的计算机技术文档等资料”，要求被审计单位提供电子数据，开展电子数据式审计工作。但开展信息系统安全审计的方法、步骤要求我们必须获取被审计单位信息系统底层数据库的数据字典、程序开发文档、甚至程序源代码等核心文档已经高级管理用户的权限。但事实上大多数被审计单位也不掌握这些核心文档，软件开发公司又以知识产权应收保护为由拒绝提供文档。特别是要求SAP、Oracle等国外软件开发商提供开发文档非常困难。因此，应出台更为明确的法规以支持信息系统安全审计工作。其次，信息系统审计的实施需要耗费大量的人力物力，在目前审计机关工作繁重的背景下，开展此项工作需要审计工作方案以及考评指标的支撑。因此，审计相关部门应该考虑把信息系统审计纳入年初审计工作计划，并出台相应的考评标准。

五、信息系统审计自身风险较大

外审员信息安全篇（2）

一、信息系统审计的内涵和外延难以把握

随着信息技术的发展，信息系统在财务、管理领域的应用程度不断提高，功能日趋完善，其软硬件结构的复杂性和涉及领域的广泛性以及信息处理技术更新的频繁性使得审计人员难以同步把握信息系统审计的内涵和外延。从外延上看，信息系统审计主要包括两个部分，一是对信息系统主体的审计，二是对信息系统应用环境的审计，包括网络环境、使用环境、管理使用情况等。一般说来，审计信息系统本身相对容易，但审计信息系统的应用环境却存在较多不确定因素，比如某公司的信息系统通过防火墙连接到互联网，而在防火墙内还存在其它系统，其它系统是不是也在审计范围之内？从内涵上看，信息系统审计主要是对信息系统的安全性和可靠性进行评估、评价。安全性、可靠性是一个比较广泛的概念，以系统安全性为例，它包括：ISO开放系统互连安全体系结构、TCP／IP安全体系、开放系统互连的安全管理、安全服务和功能配置；系统安全涉及的信息安全技术包括：密码技术、访问控制技术、机密性和完整性保护技术、数字签名技术、抗抵赖技术、预（报）警机制、公证技术、防火墙技术、漏洞检测技术、网络隔离技术、计算机病毒防范等。由于信息技术本身的限制性，绝大部分信息系统本身均存在安全性问题（如防护级别最高、防护技术最好的美国国防部也常有被攻击的情况）。

把握不准信息系统审计的外延和内涵，就难以解决以下三个问题：一是难以解决审计力量与审计任务之间的矛盾，难以控制审计风险，即不该审的审了，该审的却未审；二是由于绝大部分信息系统本身均存在安全性问题，信息系统审计很容易演变成“信息系统是否存在问题源自于审计人员的技术水平，而不是系统本身的安全性和可靠性”，即，绝大部分信息系统均存在不安全、不可靠因素，就看审计人员能否发现由于信息系统的安全性问题是绝对的，而审计人员的视角和技术水平是相对的，信息系统审计的成果部分取决于审计人员对信息系统审计内容的把握程度；三是由于审计需要大量的证据支撑，对于未造成损失但信息系统存在不安全隐患的问题难以定性,即便是造成了损失，也难以界定这些损失与信息系统不安全、不可靠因素之间联系。因此，审计部门应根据“全面审计、突出重点”及“先易后难”、“先系统本身后系统环境”的原则，参照国家信息技术部的有关标准，界定信息系统工作的外延和内涵，将信息系统审计的主要方向定在：被审计单位的信息系统的安全性、可靠性是否达到应有的水平或标准，而不是系统是否有安全性和可靠性问题。

二、信息系统审计评价标准很难确定

信息系统安全审计，涉及会计信息处理自动化、表示代码化、信息处理与存储集中化、内部控制程序化等诸多广泛、复杂的计算机专业技术环节，其技术性较高。而我国信息系统审计正处于起步阶段，对审计机关如何开展信息系统审计尚在积极探索中，因此，目前尚没有一个完整的、成熟的具有示范作用的审计案例，也缺少具备实际指导意义的相关信息系统审计准则和操作指南。

近年来，国家安全部门相继出台了多个安全标准，例如公安部出台的《计算机信息系统安全保护等级划分准则》（GB17859－1999）、《信息安全等级保护管理办法》，还有相应的安全技术规范《信息安全技术信息系统通用安全技术要求》（GB／T20271－2006）、《信息安全技术网络基础安全技术要求》（GB／T20270－2006）、《信息安全技术操作系统安全技术要求》（GB／T20272－2006）、《信息安全技术数据库管理系统安全技术要求》（GB／T20273－2006）、《信息安全技术服务器技术要求》、《信息安全技术终端计算机系统安全等级技术要求》（GA／T671－2006）等技术标准。但在实际操作中，这些标准在可操作性上还有待提高，一是信息系统安全等级的确定，缺乏一个等级认定的部门，目前是由各个单位自己定级报送，会存在低报等级风险；二是等级要求没有量化和详细解释，等级认定存在困难。这些都给具体的审计实务工作带来极大的困难。因此建议审计部门及时组织总结实践经验，规范信息系统安全审计的有关概念、审计内容、工作流程和技术方法、形成信息系统安全审计准则、操作指南或实务公告的准则体系，这是信息系统安全审计得以健康发展的基础。

三、信息系统审计缺乏相应的人才

我国目前尚缺乏既熟悉审计业务又掌握计算机技术同时了解国内标准信息系统流程的复合型人才，进行信息系统审计所涉及的知识面非常广，涉及会计、审计、管理和计算机等知识，而进行信息系统安全性审计主要从系统总体安全、系统运行安全、数据中心安全、硬件设备安全和网络安全情况五个方面来进行，每个方面都涉及不同的知识点。当对系统总体安全进行审计时，则要求审计人员具有系统总体分析、系统设计和系统安全分析的知识；当对系统运行进行审计时，则要求审计人员具有系统运行管理、系统维护和系统安全管理的知识；当对数据中心安全进行审计时，则要求审计人员具有工程建设、数据中心安全维护和灾备等知识；当对硬件设备安全进行审计时，则要求审计人员具有设备采购、设备维护和设备安全分析等知识；当对网络安全情况进行审计时，则要求审计人员具有网络安全分析和网络防范等知识。但在当前情况下，审计人员能够掌握上述某一方面的知识都已经难能可贵，更不用说要掌握所有的知识面。建议审计部门加强对审计人员理论培训，并组织审计人员进行实践，通过实践经验来巩固理论知识，培养出更多的信息系统审计复合型人才和相应的专业性人才。

四、信息系统审计需要相应的法规支持和成果考核标准

外审员信息安全篇（3）

Research on Campus Network Management and Control of Information Security

Wu Shao-jia Liao Li

(Zhaoqing Radio & Television University Guangdong Zhaoqing 526060)

【 Abstract 】 Protection of campus network security is the focus and key points on the information work, As the ongoing in-depth information security management and monitoring processes, The problems of Potential Network Information Security is exposed, You can construction out the strategy of security applies to campus Information Network System, and take effective measures solution its security problem, Improves the network operation level ， Supply the information and data protection with safety measure of reached the security requirements and construction target for campus network.

【 Keywords 】 management and control; campus network; information security ; security strategy; security audit

0 引言

数字校园是推进实现我国教育信息化的重点建设目标之一，数字信息化应用在我国教育现代化的进程中起到了强大的推动力。校园网是学校数字信息化建设重要的基础设施,是学校实现数字信息化的重要组成平台,在教学支持服务、教学教务管理、科学研究、行政管理和校内外信息交流等许多方面都起到了重大作用。许多学校的工作已经完全通过信息网络系统来运转，随着信息化建设规模的扩大深入以及计算机信息网络技术的不断扩展和增强，在校园网中潜在威胁安全问题暴露无遗，校园网络安全的形势日益严峻。如何保障学校内部重要信息的安全，使得重要数据信息不被窃取，是学校信息安全工作当前要面临的首要挑战。

1 校园网信息安全需求

随着校园网应用的深入，校园网上各种信息数据急剧增加，结构性不断提高，用户对网络性能要求的不断提高，网络信息安全成为网络技术发展中一个极其关键的任务。校园网信息安全的需求概括有四个方面。

（1）用户安全：用户安全分成管理员用户安全和业务用户安全。

（2）网络硬环境安全 ：网络连接安全，校园网中的子网与其他网络连接的网络安全，各个专用的业务子网的安全。

（3）网络软环境安全：即校园网的应用环境安全。

（4）传输安全：数据的传输安全，主要是指校园网内部的传输安全、校园网与公网（教科网）之间的数据传输安全以及校园网与分校区之间的数据传输安全。

校园网络系统通常只是在校内使用的教学办公网络，是一个相对封闭的局域网系统，可不考虑外来的入侵行为，所面临的风险大多始于内部，包括来自学校内部人员的威胁、非授权访问、冒充合法用户、破坏数据的完整性、数据篡改、泄漏与丢失等。众多不同的安全技术和产品，在技术上缺乏完善的综合管理平台进行统一协调管理；而在管理上则欠缺良好的安全管理体制和策略，这就直接导致了整个安全体系的薄弱，造成网络整体安全防御能力下降，无法真正达到安全要求和建设目标。因此，使用访问控制及内外网的隔离，使用内部网不同网络安全域的隔离及访问控制，使用网络安全检测。解决校园网信息安全问题的重要方法，是在校园内网中采用不同的安全产品和技术构建多层次的安全防范体系，并在这个体系中部署信息安全审计措施以监督信息系统，发现和追查信息系统中潜在的安全问题，弥补其它安全产品对信息安全管控的不足。

2 管控信息安全的策略

信息安全是高技术的对抗，信息安全问题是要通过大力发展信息安全高技术来解决。但同时必须清醒地认识到，要高效地解决信息系统的安全问题，除了从技术上下功夫外，还得依靠配套的安全管理措施来实现。一定要部署校园网安全审计与监控体系配套管理措施，对信息安全审计工作必须要坚持管理与技术并重的原则，建立和完善信息安全配套管理制度和规范，加强管理落实责任，注重通过加强管理弥补技术上的不足。

首先要建立相对独立的学校信息安全审计机构，明确管理组织内各个角色所承担的具体审计职能。在一个审计机构中具体应当包括几种角色。

外审员信息安全篇（4）

根据相关统计机构提供的数据，目前有60%以上的网络人侵和破坏是来自网络内部的，因为网络内部的人员对于自己的网络更加熟悉，而且有一定的授权，掌握一定的密码，又位于防火墙的后端，进行入侵或破坏更加得心应手。一个内部人员不必掌握很多黑客技术就能够对系统造成重大的损失。因此信息安全审计的功能越发受到重视。

 

对于一个信息系统而言，信息安全审计究竟要实现怎样的功能,要实现到怎样的程度，目前大多数的单位并未真正理解,不少单位对于信息安全审计的认识还停留在日志记录的层次。一些信息安全测评认证标准可以为我们提供一定的借鉴。

 

1998年，国际标准化组织(ISO)和国际电工委员会(IEC)发表了《信息技术安全性评估通用准则2.0版》(IS0/IEC15408),简称CC准则或CC标准。CC准则是信息技术安全性通用评估准则,用来评估信息系统或者信息产品的安全性。在CC准则中，对网络安全审计定义了一套完整的功能，如:安全审计自动响应、安全审计事件生成、安全审计分析、安全审计浏览、安全审计事件存储、安全审计事件选择等。

 

TCSEC(TrustedComputerSystemEvaluationCriteria)准则俗称橙皮书，是美国国防部的一个准则,用于评估自动信息数据处理系统产品的安全措施的有效性。它定义了一些基本的安全需求，如:policy、accountability、assurance等。accountability提出了“安全审计”的基本要求，包括：审计信息必须被有选择地保留和保护，与安全有关的活动能够被追溯到负责方，系统应能够选择记录与安全有关的信息，以便将审计的开销降到最小，并可以进行有效的分析。

 

计算机信息系统安全保护等级划分准则中，定义了五个级别:第一级:用户自主保护级;第二级:系统审计保护级;第三级：安全标记保护级;第四级:结构化保护级;第五级:访问验证保护级。从第二个级别开始就需要基本的审计功能，越高的级别对于审计的要求也越高。第二级别的审计要求就包括:计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它访问或破坏。

 

具体来说，计算机信息系统可信计算基应能记录下述事件：使用身份鉴别机制;将客体引人用户地址空间(例如:打开文件、程序初始化);删除客体;由操作员、系统管理员或系统安全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括:事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请求的来源(例如：终端标识符);对于客体引人用户地址空间的事件及客体删除事件,审计记录包含客体名。对不能由计算机信息系统可信计算基独立分辨的审计事件,审计机制提供审计记录接口，可由授权主体调用。

 

从上面可以看出，很多的国际规范以及国内的安全规定中都将安全审计放在重要的位置，而安全审计并不像许多用户所理解的只是“日志记录”的功能。目前绝大部分的操作系统、网络设备、网管系统都有不同程度的日志记录功能，但是实际上这些日志并不能保障系统的安全，也无法满足事件的侦察和取证应用。各类测评认证标准为我们实现完整的信息安全审计提供了指导，但是如何建设审计系统则需要在这些原则的指导下，具体问题具体分析,根据系统状况、自身安全需求以及当前技术的支持程度来定制审计系统。

 

2重要领域信息系统面临的安全挑战

 

随着信息技术的迅速发展，许多单位和部门对信息系统的依赖性日益严重,尤其是一些重要领域(如电子政务、金融、证券等)的信息系统，一旦出现问题将带来巨大的损失。重要领域的信息系统将面临来自外部或内部的各种攻击,包括基于侦听、截获、窃取、破译、业务流量分析、电磁信息提取等技术的被动攻击和基于修改、伪造、破坏、冒充、病毒扩散等技术的主动攻击。

 

信息系统面临的安全威胁来自多个方面。首先，目前大部分信息系统选用的系统本身存在着安全隐患，如网络硬件设备(服务器、网络设备等)和操作平台(操作系统、数据库系统、通用软件系统等)存在弱点和漏洞。应用软件系统的脆弱性、应用系统的BUG、代码错误、不安全代码的执行模式、不安全设计、网络的脆弱性、网络协议的开放性(TCP/IP协议栈)、系统的相互依赖性都会导致网络的安全风险。此外，安全设计本身的不完备性、网络安全管理人员对系统漏洞的置若罔闻都会使攻击行为得以成功。因此，信息系统的安全方案中要综合考虑网络系统的安全配置、正常运行、安全操作、应急响应、安全审计等问题。

 

3重要领域信息系统中的信息安全审计需求

 

在重要领域信息系统的众多安全问题中，内部的安全违规问题尤其值得重视。内部人员违规一般有两种形式:一种是内部人员的违规操作，造成的后果是影响系统的安全;另一种是有目的地窃取资源。

 

最近几年网络安全领域主要强调的是如何防范外部人侵，如怎么建网关、建防火墙、实现内外网的物理隔离等，但是堡垒最容易从内部攻破，信息最容易从内部丢失。解决内部人员违规的一个重要手段是对重要领域信息系统实行高强度的安全审计。所谓的强审计不是简单的“日志记录“,而是增强的、全方位、多层次、分布式的安全审计,覆盖网络系统、操作系统、各类应用系统(如\^1)、£-11^1、]\(^£3^(;11&1^、081^)等,对各种未授权或非法的活动实时报警、阻断等。

 

安全强审计与一般的安全审计相比在以下几个方面得到增强:信息收集能力;信息分析能力;适应性;防绕过特性;信息保护特性;审计深度和针对性;规范化、标准化和开放性。

 

在重要领域信息系统中，信息安全审计的重点如下：

 

(1)网络通信系统

 

重要领域信息系统的普遍特点是网络流量一般不是很高，但是网上传输的可能是机密或敏感的信息，因此除了需要具备一般企业内部网所需要的人侵检测功能之外，还需要具备以下审计功能，以发现内部网络上的违规行为:对网络流量中典型协议分析、识别、判断和记录;对了61賊、1111?、£-11^1、1^?、网上聊天、文件共享操作的还原和记录;对网络流量进行监测以及对异常流量的识别和报警;对网络设备运行进行持续的监测。

 

⑵重要服务器

 

重要领域信息系统中，重要服务器是信息的集中点,需要对其进行增强的审计，以保护信息资源，对以下事件的审计是最基础的安全审计功能:服务器系统启动、运行情况;管理员登录、操作情况;系统配置更改(如注册表、配置文件、用户系统等);病毒或蠕虫感染情况;资源消耗情况;硬盘、CPU、内存、网络负载、进程等;操作系统安全日志;系统内部事件;对重要文件的访问。

 

(3)应用平台

 

仅仅对服务器系统层次的审计还是不够的，因为目前大量重要领域信息系统的应用平台在权限控制方面还有一定的缺陷，因此存在通过应用平台进行违规操作的可能性，例如:直接操作数据库的行为。因此，应用平台层次的安全审计也是必须的，审计内容包括:重要应用平台进程的运行;Web服务器、Mail服务器、Lotus、Exchange服务器、中间件系统;各个平台的健康状况;重要数据库的操作;数据库的进程;绕过应用软件直接操作数据库的违规访问行为;数据库配置的更改操作;数据备份操作和其他维护管理操作;对重要数据的访问和更改操作。

 

(4)重要应用系统

 

由于不少重要领域信息系统中已经建立了一系列的应用业务系统，因此对于一般的操作人员来说，业务系统是最主要的人机界面，对于有高安全需求的重要领域信息系统来说，还需要加强应用系统层次的审计。如对于电子政务系统，针对以下应用系统的审计是最基本的:办公自动化系统、公文流转和操作、网站系统、相关政务业务系统。

 

⑶重要网络区域的客户机

 

在一般的信息系统中，对客户机的审计通常不是必要的。但是对于一些安全级别较高的信息系统的重要网络区域，针对客户机的审计还是必要的，主要审计以下内容:病毒感染情况;通过网络进行的文件共享操作;文件拷贝、打印操作;通过Modem擅自连接外网的情况;非业务异常软件的安装和运行。

 

重要领域信息系统中的安全审计系统建设的要点

 

在重要领域信息系统中，一个较为全面的审计系统需要关注以下几点：

 

(1)数据的来源

 

审计系统如何获取所需的数据通常是最关键的，数据一般来源于以下几种方式:来自网络数据截获，如各类网络监听型的人侵检测和审计系统;来自系统、网络、防火墙、中间件等系统的日志(通常通过文件、syslog、SNMP、OPSE等机制获取日志);通过嵌入模块，主动收集系统内部事件;通过网络主动访问，获取信息(如扫描,HTTP访问等);来自应用系统、安全系统的审计接口。

 

在重要领域信息系统中的安全审计系统的建设中，尤其需要考虑强制获取数据的机制，即:有数据源的，通过审计系统来获取;无数据源的，要设法生成数据，进行审计。这也是强审计和一般的日志收集系统的区别之一。目前，各类wrapper技术是强制生成审计数据源的有效手段之一。

 

另外，在数据源方面，还需要关注所收集数据的性质，有些数据是已经经过分析和判断的数据，有些数据是未分析的原始数据,不同的数据要采用不同的处理机制。此外在很多系统中可能需要根据实际情况定制数据转化的功能。

 

(2)审计系统的分析机制

 

审计系统需具备评判异常、违规的能力，一个没有分析机制的审计系统虽然理论上可以获取和记录所有的信息，但实际上在需要多层次审计的环境中是不能发挥作用的。审计系统的分析机制通常包括:实时分析，提供或获取数据的设备/软件应具备预分析能力，并能够进行第一道筛选;事后分析，维护审计数据的机构对审计记录的事后分析,事后分析通常包括统计分析和数据挖掘两种技术。对于重要领域的信息系统来说,两方面的分析机制都是需要的，一般情况下审计系统都应具备实时分析能力，如果条件允许,也应具备事后分析的能力。

 

⑶与原有系统的关系

 

通常一般企业构建安全审计系统时，仅仅采用一些入侵检测系统就满足需求了，与原有系统关系不大。但是在重要领域信息系统中，需要实现多层次多角度的安全强审计，因此审计系统必然和原有的系统有一定的关系。通常，审计系统与原有系统的关系包括：完全透明型，原有系统根本察觉不到审计系统的存在;松散嵌入型，基本上不改变原有系统;紧密嵌人型，需要原有系统的平台层和部分应用做出较大改变;一体化设计，系统设计之初就考虑审计功能，所有模块都有与审计系统的接口。

 

如何在实现审计的同时确保原有系统的正常运转是审计系统构建的关键，要尽量做到最小修改和影响系统性能最小。

 

(4)如何保证审计功能不被绕过

 

有了安全审计的措施，必然会有各类绕过审计系统的手段。而在重要领域的信息系统中，审计系统如果被轻易绕过将导致严重的后果。所以在建设审计系统时，需要充分考虑审计系统的防绕特性。通常可以采用以下手段增强审计系统的防绕性:通过技术手段保证的强制审计，如网络监听和wrapper机制;通过不同审计数据的相互印证,发现绕过审计系统的行为;通过对审计记录的一致性检查，发现绕过审计系统的行为;采用相应的管理手段，从多角度保证审计措施的有力贯彻。

 

(5)对审计数据的有效利用

 

外审员信息安全篇（5）

审计信息化是指利用一切现代化、信息化的手段进行企业内部的审计工作，有多种表述方式，如计算机审计、网络审计等，因此，审计信息化是一个广泛而统括的概念。目前，审计信息化是指具备专业知识的审计人员，基于计算机网络，利用相关的审计软件，对企业的网络会计数据、信息等进行收集、统计和审计。

与传统审计相比，审计信息化具有信息化时代独有的特点。首先，审计对象更加繁杂化。这主要是因为随着市场经济的国际化和信息化发展，企业的经营业务和规模不断复杂化和扩大化，使得信息化审计所包含的经济活动和相关的经济控制体制等越来越多样化。其次，审计范围的扩大化。由于信息化审计是基于信息网络，因此在进行基本业务审计的同时，还要进行审计系统的控制和管理，确保审计系统的正常运行和安全。另外，基于信息网络的审计方式更加注重信息和数据的安全问题。最后，审计信息化的技术和方法多样化。审计信息化依托于计算机网络和各种处理软件，远远不同于传统审计中依托于纸笔的审计方式，审计手段和方法也不再仅限于人工，更加依赖于网络和软件的开发，审计结果的科学性、准确性和可靠性都大幅提高，这也是审计信息化最主要的特点。

二、审计信息化的潜在风险及其成因

审计风险是指企业在审计过程中，由于各种主观或客观因素的影响，使得审计结果出现偏颇或给企业带来政治、经济等各种损失的可能性。从审计过程开始的那一刻起，每个审计流程都可能引入风险，因此，审计风险具有普遍性。

1.审计信息化的物理风险。信息化审计依托于计算机网络和各种处理软件，由此而引入的物理风险是主要的。首先是审计系统存在的固有风险。计算机系统是企业进行内部审计的平台，各种处理软件时企业进行内部审计的重要手段，因此计算机系统和软件的环境安全是影响审计安全的重要因素。在信息化时代背景下，网络平台本身在开发过程中可能存在某种缺陷或漏洞，信息系统的设计、测试等技术也不完善，再加上各种黑客操作着的、不断更新换代的病毒和木马等都对网络平台的安全造成严重威胁。其次，完成审计过程，需要销售、人力、市场等各个部门的协同参与，在审计数据的传输和交流过程中，可能由于各子程序不兼容或兼容性差等出现数据对接不完全或数据外漏等问题。另外，信息化时代下的网络平台在不断的更新，相关处理软件而在不断的完善升级，这些新旧软件在对接过程中也容易发生数据信息被盗或被篡改等问题。这些因素使得审计信息化的物理风险不可避免。

2.审计信息化的操作风险。审计信息化的操作风险归根结底是由于各种人为因素而引入的审计风险。首先是审计工作人员自身的风险意识较弱。在传统的企业内部审计中，审计工作只是对相关财务工作的核对和总结，这就造成审计人员难以全面理解审计信息化的概念，不能建立强烈的风险意识。其次，跟多企业在进行内部审计时，由于没有健全的规章制度，使得审计工作人员在工作过程不能按章办事，导致漏洞百出，严重影响了审计结果。另外，审计人员的理论专业知识和操作专业技能严重不协调。一般的企业在聘用审计工作人员时，都会进行简单的业务培训，帮助其成功掌握基础的审计知识，但对于审计中要用的专业软件等，往往不够熟悉，而对于审计软件操作熟练的人员，又多是计算机工作或开发人员，不直接参与审计工作。这不仅造成软件功能的不良发挥，同时也大大降低了工作效率提高了审计风险。

三、审计信息化的风险应对举措

1.完善信息网络平台，降低物理风险。企业的经营者和管理者要重视由于网络和软件引入的物理风险，应加大财力和人力投资信息技术的开发和完善。对新建网络平台要进行安全测试，各处理软件要进行运行安全、对接安全等检测，确保新投入信息化处理手段的安全性，同时要定时对网络平台进行安全维护，检查可能存在的安全隐患并及时处理，确保物理风险最低化。

外审员信息安全篇（6）

随着信息技术的飞速发展，金融机构生产、使用和共享的信息呈现几何增长的态势，信息传递的方式和渠道急剧增加，在为金融机构带来收益和效率的同时，也使信息安全问题更加凸显。在全球范围内，信息安全事件频发，给银行和客户造成经济损失的同时，也带来了巨大的声誉损失。如何有效提升信息安全管理水平，成为银行关注的焦点。信息安全审计作为信息安全保障工作中的重要一环，能够促进信息安全控制措施的落实，规范信息安全管理，提高全员信息安全意识，从而有利于保持和持续改进银行信息安全能力和水平。

根据当前的信息安全管理体系国家标准GB/T22080-2008（等同采用ISO/IEC27001:2005），信息安全保障工作从整体看应包括四个阶段：一是规划和建设阶段（Plan，简称“P阶段”）；二是实施和运行阶段（Do，简称“D阶段”）；三是监视和评审阶段（Check，简称“C阶段”）；四是保持和改进（Act，简称“A阶段”）。这四个阶段按顺序循环往复，从而使信息安全得到持续改进。这种方法也被称为“PDCA循环”，如图1所示。

经过近十几年的努力，金融行业信息安全保障工作已经普遍走过了“P阶段”和“D阶段”，金融行业的信息安全需求已基本明确，满足信息安全需求的基础设施也基本具备。经过大范围的规划建设，各金融机构已经建立了相对完备的信息安全软硬件环境，初步形成了信息安全保障体系。尽管如此，作为关系国计民生的重要基础产业，金融行业对信息安全有着更高的要求，也面临着更大的信息安全风险挑战。近年来，金融行业频繁发生的信息安全事件表明，金融行业信息安全保障工作还存在很多缺陷和不足。导致这一局面的因素很多，其中一个重要的原因就是大家普遍重视信息安全的建设和运行，而忽视了信息安全工作的检查和改进。从整体上看，金融行业信息安全保障工作已经走过“P阶段”和“D阶段”，尚未进入“C阶段”和“A阶段”，还没有形成完整的基于“PDCA”过程方法的持续改进机制。接下来金融行业信息安全工作的重心应该转向检查和改进。信息安全审计是“C阶段”的主要手段。它利用传统财务审计和审计工作的规范与严谨，结合信息和保密技术的工具与手段，对金融机构信息安全工作的成效和不足给出客观、确定的审计结论，并根据审计结果，对金融机构的信息安全保障工作提出改进措施、给出合理化建议。

为了对商业银行信息科技整个生命周期内的信息安全、业务连续性管理和外包等主要方面提出高标准、高要求，满足商业银行信息科技风险管理的需要，银监会2009年了《商业银行信息科技风险管理指引》，其中第六十五条规定：“商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每三年进行一次全面审计。”

二、国内外信息安全审计现状

（一）国外信息安全审计发展与现状

在建立信息安全审计制度，开展信息安全审计研究方面，美国走在了世界前列。早在计算机进入实用阶段时，美国就开始提出系统审计（SYSTEMAUDIT）概念。1969年在洛杉矶成立了电子数据处理审计师协会（EDPAA），1994年该协会更名为信息系统审计与控制协会（ISACA），总部设在美国芝加哥。自1978年以来，由ISACA发起的注册信息系统审计师（CISA）认证计划已经成为涵盖信息系统审计、控制与安全等专业领域的被广泛认可的标准。目前该组织在世界上100多个国家设有160多个分会，现有会员两万多人。

1999年，美国国家审计署（GAO）《联邦信息系统控制审计手册》（第一版），为美国联邦政府实施信息安全审计提供基本准则和方法。2001年，GAO《联邦信息系统安全审计管理的计划指南》，用于为美国联邦政府实施信息安全审计提供具体指导；2009年，GAO《联邦信息系统控制审计手册》（第二版），该手册成为现阶段美国联邦政府实施信息安全审计的事实标准。

近年来，美国通过立法赋予信息安全审计新的意义，并对企业实施信息安全审计产生重大影响。2002年，美国安然公司和世通财务欺诈案爆发后，美国国会和政府紧急通过了《萨班斯——奥克斯利法案》（Sarbanes-OxleyAct，简称萨班斯法案）。萨班斯法案第302条款和第404条款明确要求“，通过内部控制加强公司治理，包括加强与财务报表相关的IT系统内部控制，而信息安全审计正是IT系统内部控制的核心。”2006年底生效的《巴塞尔新资本协议（》BaselII），要求全球银行必须针对其市场、信用及营运等三种金融作业风险提供相应水准的资金准备，迫使各银行必须做好风险控管，而这一“金融作业风险”的防范也正是需要业务信息安全审计为依托。

近一段时期，以美国、加拿大、澳大利亚为主的西方国家，针对不同的组织机构，以不同的信息安全审计方式，卓有成效地开展了包括信息系统计划与技术构架、信息安全保护与灾难恢复、软件系统开发、获得、实施及维护、商业流程评估及风险管理等方面的信息安全审计。

具体来说，针对各类企业的信息安全审计，采取了以内部审计为主，从关注安全向关注业务目标过渡，一般控制审计与应用控制审计相结合的方式；针对政府机构的信息安全审计，强调外部审计与政府内部审计结合，融入绩效预算管理体系，关注系统最终效果。

在亚洲，日本的信息安全审计始于20世纪80年代。1983年，通产省公开发表了《系统审计标准》，并在全国软件水平考试中增加了“系统审计师”一级的考试，着手培养从事信息系统审计的骨干队伍。近几年，东南亚各国也开始制定电子商务法规，成立专门机构开展信息系统审计业务，并制定技术标准。

（二）我国信息安全审计发展与现状

近年来，我国的信息安全审计日益受到重视，审计署以及一些大型国有银行也相继开展了信息安全方面的审计工作。信息系统审计规范的研究和制定方面，我国已建成了一套比较成熟规范的法规、准则体系，但在信息系统及信息安全审计方面，虽有《内部审计具体准则第28号——信息系统审计》（中国内部审计协会2008年）以及审计署对信息系统审计相关法规、准则的规划及研究，但尚未形成系统的法规、准则和技术标准体系。

三、金融行业信息安全审计组织与实施

金融行业的信息安全审计（InformationSecurityAudit），是指金融机构为了掌握其信息安全保障工作的有效性，根据事先确定的审计依据，在规定的审计范围内，通过文件审核、记录检查、技术测试、现场访谈等活动，获得审计证据，并对其进行客观的评价，以确定被审计对象满足审计依据的程度所进行的系统的、独立的并形成文件的过程。金融机构可以单独实施信息安全审计，也可以将信息安全审计作为其他相关工作的一部分内容联合实施。如IT审计、信息安全等级保护建设、信息安全风险评估、信息安全管理体系建设等。审计的工作流程和内容大致包括六个方面的活动（如图2所示）。

1．确定审计目的和范围。金融机构实施信息安全审计，首先要明确审计目的，确定审计范围。审计目的是信息安全审计工作的出发点。审计目的可以从满足监管部门的要求、满足信息安全国际国内标准的要求、满足机构自身信息安全工作要求等合规性方面考虑。明确了审计目的，然后要确定审计范围。审计范围是影响审计工作量的一个重要因素。确定审计范围，可以从组织机构考虑，如仅对个别部门实施审计，或者在组织全部范围实施审计；也可以从业务和系统角度考虑，如仅对核心系统实施审计，或者仅对信贷业务实施审计等。

2.明确审计依据。审计依据就像一把“尺子”，审计人员用它来衡量信息安全工作的“长短”。审计目的不同，审计依据就可能不同，如表1中所示。

3.组建审计组。审计组是具体实施信息安全审计工作的基本组织单位，应由审计组长和审计员组成。管理良好的审计组是信息安全审计工作顺利实施并达成审计目的的保障。审计组长应由金融机构内部审计部门的管理者任命。负责编制审计方案和审计计划，选择审计员，管理审计小组，与被审计对象沟通等。审计组长应具备较强的项目管理能力，熟悉被审计对象的业务和系统，了解被审计对象面临的信息安全风险和常用的风险控制措施。审计员应选择责任心强、公正、独立、熟悉业务的人员担任，避免审计员与被审计对象存在利害关系，以免影响审计结果的公正性。正式实施信息安全审计前，应对审计组成员进行培训。

外审员信息安全篇（7）

信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。

1.信息系统审计的定义

由于信息系统审计的发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。（1）日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。（2）信息系统审计领域的著名专家威伯教授的定义（1999）是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。（3）信息系统审计影响最大的国际组织——国际信息系统审计和控制协会（ISACA）的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。

通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计（计算机审计）包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等；而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。

2.信息系统审计的目标

审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。（1）真实性。信息系统中的数据要真实的反映企业的生产经营活动。要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等管理手段确保数据的真实性。（2）完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。（3）合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。（4）安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等；内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。（5）可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对软件和硬件的破坏等。可靠性也是真实性的基础之一闭。（6）效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。

3.信息系统审计的类型

根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：（l）信息系统的真实性审计是对传统审计的补充，防止“错”账真审。（2）信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。（3）信息系统的绩效审计是对信息系统投入产出比的审核。

二、信息系统审计的特点

信息系统审计具有其独特的特点，具体特点如下：

1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。

2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向（生命周期）看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向（信息系统构成）看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。

4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。

5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。

6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。

三、信息系统审计的过程

审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为计划阶段、实施阶段和报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。

1.计划阶段

计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制；初步评价审计风险；确定重要性水平；制定审计计划。（1）调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。（2）调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。（3）评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。（4）编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。

2.实施阶段

外审员信息安全篇（8）

一、会计审计风险的主要因素

（一）社会竞争的加剧导致审计失败

企业随着现代化因素不断提高，其经营的环境也开始逐渐复杂。市场竞争中其经营方式的不确定性因素也开始逐渐增多，信息高速发展，互联网开始在全球范围内普及，使得信息的传输和存储得到了很大的方便，以你次在审计方面的误差也开始越来越小；另外企业之间的激烈竞争和高压力的业绩评估使得管理者不得不以舞弊数量或者隐蔽性的上升趋势。企业为了利益进行的配股资格的保障权、内幕交易或者市场操纵等，便会将自身企业的会计报表进行粉饰化，在核算会计中进行舞弊现象也开始越来越智能化和隐藏化，这样反而使得审计失败的几率增大，审计的风险也开始增多。

（二）审计对象和审计内容的扩展

会计审计的对象一般都是其进行监督或者监察的客体，客体有审计监督所包括的实体内容等。全球化趋势的普及开始让审计机构越来越国际化，业务之间互相融合和交叉，这样一来使得会计审计行业的任务开始增加。因此面对未来企业的生存方式，如何更好的评价人力资源问题和电子会计计算、真实数据的可靠性和安全性等问题，以及企业在发展自身的同时如何与社会的大环境进行融合和协调都是企业会计审计所面临的更大的挑战。

（三）审计人员的能力局限和职业道德的变迁

审计是一门融入多种学科的综合行业，其中包括会计、财政、金融以及财务和法律等，可见其综合性之高。执行审计工作的主体则是审计工作人员，因此审计的质量好坏与工作人员能力成正比关系。就我国当前审计发展情况来看，其组建的审计机关部门较晚，且审计人员的综合素质和能力相比于当前环境下企业的发展速度较为落后，不能很好的胜任其审计业务，大多数业务都只是出于初级阶段。企业审计工作人员的能力和经验的不足使得审计工作从计划到取证分析、定结论一切过程中都有很大的偏差等不良后果。

二、会计信息化审计的特征

（一）审计所有方面均运用信息化技术

当前我国审计工作虽然没有建立完善，网络应用业务也不理想，但是会计信息化的审计目的在设计理论基础上就是结合多方面、多技术、多标准和多方法进行审计工作，让审计工作的信息化设计有着非常丰富的内容和全面的信息技术保障。

（二）具有十分强大的适应能力

会计信息化审计的环境是多元化的，同时也有较强的系统化。信息化的特点就是高频率的更新，因此这就要求信息化审计务必要达到实时审计的层次，会计环境也要进行及时准确的判断，以保障企业的会计审计工作能够在实时的变化中仍然能够得到控制。

（三）对原始审计工作的快速提升

大多数企业中都是讲审计工作从企业中单独独立出来，以追求审计工作能够有较高的工作效率和较低的风险。审计工作人员可以从强大的计算机系统体系中获取各种各样的数据和信息，再加上企业配置的高技术工作平台，使得其审计工作的效率能够在保证其低风险的前提下将其审计的工作效率提升到了更好的层次。

三、会计信息化审计的实施策略

（一）建构会计审计原则

信息化审计由于其本身工作的要求和环境变化等原因，将会使得能与审计机构有联系的部门机构甚至包括政府在内都要定制出全面的审计原则，必须要保证审计工作的安全性以及其出现安全问题时能够得到及时的补救。会计行业本身就要求其信息化审计工作务必要有健全的理论指导和长期实践总结的经验，以为建立相关的审计原则提供资料。另外在政府监管方面来看信息会计审计也要及时建立相关的组织机构并颁布一定的法律法规，以使得信息化审计能够从技术、理论、方法和规范等全方位都要进行指导，务必要在各个方面都能够保证信息化会计审计原则得以顺利的建构和实施。

（二）引进和培训信息化审计人才

由于会计审计自身的性质必将会涉及到企业的财务运行状况，即与企业的发展联系较大，所以企业内的审计工作人员的自身能力和素质等也是企业的审计工作质量的基础保障。自从会计审计实施信息化以来，专业的会计审计人才更是企业内信息化会计审计工作顺利进行的基础条件。企业可以通过对企业内部的原有的会计审计人员进行培训等方式获取，让其对信息化审计的内容和技术进行学习和掌握；另外吸引人才也是企业获得会计审计人才的重要方式之一，现在多个学校都已经设立会计审计专业，另外也有很多培训机构开设了该门课程的学习，只要经过严格的专业培训和技术考核，再结合自身的职业道德等因素，历经选拔，一定会选出对企业的政府部门等有用的会计审计人才。

（三）强化审计风险和安全防范意识

外审员信息安全篇（9）

信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。

1.信息系统审计的定义

由于信息系统审计的发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。（1）日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。（2）信息系统审计领域的着名专家威伯教授的定义（1999）是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。（3）信息系统审计影响最大的国际组织——国际信息系统审计和控制协会（ISACA）的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。

通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计（计算机审计）包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等；而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。

2.信息系统审计的目标

审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。（1）真实性。信息系统中的数据要真实的反映企业的生产经营活动。要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等管理手段确保数据的真实性。（2）完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。（3）合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。（4）安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等；内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。（5）可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对软件和硬件的破坏等。可靠性也是真实性的基础之一闭。（6）效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提供产品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。

3.信息系统审计的类型

根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：（l）信息系统的真实性审计是对传统审计的补充，防止“错”账真审。（2）信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。（3）信息系统的绩效审计是对信息系统投入产出比的审核。

二、信息系统审计的特点

信息系统审计具有其独特的特点，具体特点

1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。

2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向（生命周期）看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向（信息系统构成）看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。

4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。

5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。

6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。

三、信息系统审计的过程

审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为计划阶段、实施阶段和报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。

1.计划阶段

计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制；初步评价审计风险；确定重要性水平；制定审计计划。（1）调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。（2）调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。（3）评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。（4）编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。

2.实施阶段

外审员信息安全篇（10）

信息系统审计的内涵与财务报表审计有较大的不同。以下通过对信息系统审计的定义、目标和类型来阐述信息系统审计的内涵。

1.信息系统审计的定义。

由于信息系统审计的发展很快，因此对其始终没有一个通用的定义。下面分别介绍三种比较有代表性的定义。

（1）日本通产省情报处理开发协会信息系统审计委员会1996年对信息系统审计定义为“为了信息系统的安全、可靠与有效，由独立于审计对象的信息系统审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向信息系统审计对象的最高领导层，提出问题与建议的一系列活动”。该定义中强调独立性的问题。

（2）信息系统审计领域的著名专家威伯教授的定义（1999）是：“信息系统审计是收集并评估证据，以判断一个计算机系统是否有效做到保护资产、维护数据完整、完成组织目标，同时最经济的使用资源”。

（3）信息系统审计影响最大的国际组织——国际信息系统审计和控制协会（ISACA）的定义是：信息系统审计是一个获取并评价证据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率的利用组织的资源并有效果的实现组织目标的过程”。该定义比威伯的更详细一些。

通过对相关信息系统审计定义的分析，本文认为，所谓的信息系统审计，是指通过对被审单位的信息系统组成部分的审查来获取和评价审计证据，由此对信息系统的安全性、可靠性、数据的完整性以及信息系统能否经济的使用组织资源并有效地实现组织目标发表审计意见。我们必须清楚的识别信息系统审计、IT审计、审计工程之间的区别。一般而言，1T审计（计算机审计）包括信息系统审计和审计工程。信息系统审计的研究对象是企业的信息系统或信息资产，采用的研究方法是传统的审计方法和计算机技术等；而审计工程的研究对象是企业的电子财务和业务数据，研究方法采用计算机技术、系统工程方法和数学理论等。

2.信息系统审计的目标

审计本质上是根据审计目标对收集的证据进行分析评价并得出结论的过程。一切的审计活动都是为了实现一定的审计目标，并围绕审计目标来进行。可以说，审计目标是审计工作的“纲”。它贯穿审计活动的各个方面和审计过程的始终。

（1）真实性。信息系统中的数据要真实的反映企业的生产经营活动。要通过数字签名等一系列技术手段和保留不可更改记录、定期审计等管理手段确保数据的真实性。

（2）完整性。完整性信息不被偶然或蓄意的删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成、存储和传输。

（3）合法性。系统在购买、使用、开发、更新、维护、转移等过程中必须符合相关法律、法规、准则、行规以及企业内部的规定等。

（4）安全性。安全性是指信息系统在遭受各种因素破坏的情况下，仍然能够正常运行的概率。威胁信息系统安全的因素有外部和内部两种。外部主要是黑客的入侵、病毒的攻击、线路的侦听等；内部主要是被授权的用户访问和修改、删除等操作。安全性是真实性的基础之一。

（5）可靠性。可靠性是指信息系统在遭受非人因素破坏或人为差错影响的情况下仍然能够正常运行的概率。威胁信息系统可靠性的因素包括自然灾害对硬件和坏境的破坏以及误操作对软件和硬件的破坏等。可靠性也是真实性的基础之一闭。

（6）效果和效率。效果是指应用信息系统以后，企业在生产控制、管理质量、提品和服务等方面产生的变化。效率是指信息系统的应用在企业劳动生产率的提高方面所起的作用。

3.信息系统审计的类型

根据信息系统审计的定义和审计目标，我们可以将信息系统审计分为三个基本类型：

（l）信息系统的真实性审计是对传统审计的补充，防止“错”账真审。

（2）信息系统的安全性审计是对企业信息资产安全性的审核，防止由信息系统造成的经营风险。

（3）信息系统的绩效审计是对信息系统投入产出比的审核。

二、信息系统审计的特点

信息系统审计具有其独特的特点，具体特点如下：

1.信息系统审计是一个过程。它是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效果地实现组织目标的过程，它贯穿于信息系统生命周期的全过程。

2.信息系统审计的对象具有综合性和复杂性。信息系统审计的对象是以计算机为核心的信息系统，它包含了除财务信息以外的其他与生产经营流程有关的所有信息系统，其实质是审计对象及内容的拓展。从纵向（生命周期）看，覆盖了信息系统从规划、分析、设计到维护的全生命周期的各种业务；从横向（信息系统构成）看，它包含对软硬件审计、应用程序审计、安全审计等。从这个意义看，信息系统审计拓展了传统审计的内涵，将审计对象从财务范畴扩展到了同经营活动有关的一切信息系统。

3.信息系统审计拓展了传统审计的目标。传统审计目标仅仅包括了“对被审计单位会计报表的合法性、公允性及会计处理方法的一贯性发表审计意见”，《中国独立审计具体准则第20号--计算机信息系统环境下的审计》第四条也明确规定“注册会计师在计算机信息系统环境下执行会计报表审计业务，应当考虑其对审计的影响，但不应改变审计目的和范围”，由此可见EDP审计、电算化审计和计算机审计都没有改变审计的目标，但信息系统审计除了上述目标外，还包括信息资产的安全性、数据的完整性以及系统的可靠性、有效性和效率性。

4.信息系统审计是事后、事前、事中审计的结合体。注册会计师所执行的财务报表审计往往是年度审计，属于事后审计。而信息系统审计是事后、事前、事中审计兼而有之。如信息系统在开发过程中，由审计人员介入所进行的审计属于事中审计，此项审计相对于系统运行后而对其所进行的审计而言又可以看作是事前审计；信息系统运行后，对其在一定期间的运作情况所进行的审计则为事后审计。

5.信息系统审计的内容更加宽泛。信息系统审计包含了一切与信息系统有关的审计，除了整个生命周期过程及相关业务的审计外，随着信息技术的发展，还必将包括联网审计、电子商务审计、网站审计、ASP审计和XBRL审计等。

6.信息系统审计是一种基于风险基础审计的理论和方法。很多组织都能意识到技术带来的潜在好处，然而成功的组织还能够理解和管理好与采用新技术相关的很多风险。信息系统有着与生俱来的风险，这些风险用不同方式冲击着信息系统，审计者面临着审计什么、何时审计以及如何帮助信息系统的管理者管理和控制风险从而实现企业的战略目标的问题。

三、信息系统审计的过程

审计过程是审计工作从开始到结束的整个过程。信息系统审计一般可以分为计划阶段、实施阶段和报告阶段。由于信息系统审计的对象和具体业务不同，每个阶段所包括的具体内容与财务审计也不同。

1.计划阶段

计划阶段是信息系统审计过程的起点。科学合理的审计计划有利于帮助审计人员有的放矢的去调查、取证，形成正确的审计结论，实现审计目标。计划阶段的主要任务包括：调查被审单位的基本情况和内部控制；初步评价审计风险；确定重要性水平；制定审计计划。

（1）调查被审单位的基本情况，初步评价固有风险为了做好审计工作，审计人员首先应了解被审单位的基本情况。需要了解的基本情况包括：第一，被审单位的业务性质和生产经营情况。第二，被审单位的组织结构和管理水平。第三，被审单位信息系统一般情况，即信息系统的结构，所使用的软硬件和网络设施以及运行环境。第四，被审单位应用系统及其所处理的交易和事项的类型。

（2）调查被审单位信息系统内部控制，评价控制风险在计划阶段，审计人员应了解被审单位的内部控制特别是信息系统内部控制，对内部控制的健全和有效性进行评估，初步确定控制风险的大小。

（3）评估审计风险，确定重要性水平。为了合理使用审计资源，有效的实现审计目标，在制定审计计划时审计人员应评估审计风险，确定重要性水平。重要性水平是指在审计事项中，能够容忍出现差错的程度和大小。

（4）编制审计计划。在对被审单位的风险进行初步评估，确定重要性水平后，审计人员应当编制审计计划。审计计划的内容应当包括：被审单位的基本情况、审计的范围和重点、审计的步骤和时间安排、审计人员分工、运用的信息系统审计方法、审计中应当注意的事项和其他内容等。

2.实施阶段

实施阶段是根据计划阶段确定的范围、重点、步骤和方法，进行有针对性的取评价，并形成审计结论的过程。主要由符合性测试和实质性测试两个阶段构成。

（1）实施符合性测试。符合性测试的目的是检查内部控制措施是否健全有效。计人员需要对被审单位的控制系统进行识别、测试和评价。测试的性质、范围和程度。为了达到这个目的，审从而确定后续的实质性控制系统识别。审计人员通过与相关人员面谈、调查问卷以及查阅信息系统和控制系统说明文件等方，识别被审单位的控制系统以及控制环境，并将调查情况记录在审计工作底稿中。