第1部分IS審計綜述ppt課件

1、第一部分電腦技術(shù)在內(nèi)部審計的運用引見 第二部分信息系統(tǒng)管理第三部分信息系統(tǒng)開發(fā)和維護.第一部分電腦技術(shù)在內(nèi)部審計的運用引見概述 .目的對信息系統(tǒng)審計評價作普通性了解引見在信息系統(tǒng)管理評價、可晉級性評價、信息平安評價和可用性評價中運用的技術(shù)和流程.信息系統(tǒng)審計的框架規(guī)范 確定信息系統(tǒng)審計和報告的法定要求指引 為信息系統(tǒng)審計準那么的運用提供指引程序 舉例闡明信息系統(tǒng)審計師在審計工程中可遵照的程序可在以下網(wǎng)址查閱信息系統(tǒng)審計和控制協(xié)會(“ISACA) 準那么和指引 /stand1.htm.風險和控制國際規(guī)范化組織(“ISO) 定義 風險 為 “利用一項資產(chǎn)或一組資產(chǎn)的薄弱環(huán)節(jié)，某些

2、特定要挾可以導致資產(chǎn)損失或損害的能夠性. 審計師必需可以識別風險及用于防御這些風險的控制 .安達信的業(yè)務風險模型.信息技術(shù)風險 訪問 - 信息的訪問被不適當?shù)卦试S或回絕的風險一致性 - 在買賣輸入、買賣處置、匯總和報告過程中，與授權(quán)、完好性和準確性相關(guān)的風險相關(guān)性 - 信息與其搜集、維護或發(fā)布的目的無關(guān)可用性 - 需求時得不到所需的信息根底設備 - 企業(yè)沒有有效的信息技術(shù)根底設備例如硬件、網(wǎng)絡、軟件、人員和流程，以高效率、低本錢、有組織地滿足企業(yè)的目前和未來需求風險模型.技術(shù)架構(gòu)監(jiān)察事項 風險控制訪問一致性可用性相關(guān)性根底設備規(guī)條和指引 政策、規(guī)范、開展管理風險管理框架.訪問嚴密性目的：維護個

3、人信息或有價值信息免遭有意或無意的、未經(jīng)授權(quán)的泄露。信息的讀取能夠會被不恰當?shù)卦试S或回絕的風險。未授權(quán)的人員能夠讀取嚴密信息。發(fā)生于各個層面網(wǎng)絡層訪問處置環(huán)境訪問運用系統(tǒng)訪問功能層訪問訪問風險.一致性 (準確真實)目的: 維護重要數(shù)據(jù)免遭有預謀的或無意的、未經(jīng)授權(quán)的篡改或刪除在買賣輸入公司所運用的各種運用系統(tǒng)，并在系統(tǒng)內(nèi)進展處置、匯總和報告的過程中，與信息的授權(quán)、完好性和準確性相關(guān)的風險典型問題：用戶界面、處置、錯誤處置、變卦管理、數(shù)據(jù)等一致性風險.可用性目的 : 防止對真正的用戶回絕提供信息技術(shù)效力或未經(jīng)授權(quán)地保管效力需求時不能得到所需信息的風險相關(guān)性信息與其搜集、維護或發(fā)布的目的不符的風險

4、可用性和相關(guān)性.根底設備企業(yè)沒有有效的信息技術(shù)根底設備例如硬件、網(wǎng)絡、軟件、人員和流程，不可以高效率、低本錢、有組織地滿足企業(yè)的目前和未來的需求重點留意以下中心信息技術(shù)流程組織架構(gòu)運用系統(tǒng)的定義、推行和變卦管理物理設備平安計算機和網(wǎng)絡操作數(shù)據(jù)和數(shù)據(jù)庫的管理業(yè)務/數(shù)據(jù)中心復原根底設備.風險評價確認產(chǎn)生/存儲、運用或支配資產(chǎn)的信息資產(chǎn)和潛在的系統(tǒng)資產(chǎn)面對的潛在要挾及能夠帶來的后果確認并評價提出的控制和平安謀劃，以：防止或降低風險發(fā)生的能夠性；警惕風險的發(fā)生并將風險的影響降到最低.風險控制的評價步驟識別風險控制評價風險控制設計的有效性確定控制措施的正常運作測試控制措施運作的效果.控制的定義：“可以提

5、供合理保證的政策、措施和組織構(gòu)造“提供適當?shù)男畔⒓夹g(shù)維護并支持關(guān)鍵流程的技術(shù)可擴展性IT 戰(zhàn)略規(guī)劃負載測試訪問操作系統(tǒng)平安防火墻和路由器運用程序根底設備系統(tǒng)監(jiān)控行政管理職責分工可用性應急方案備份/復原系統(tǒng)設計高可用性方案 相關(guān)性系統(tǒng)開發(fā)控制潛在控制.信息技術(shù)風險管理信息技術(shù)風險評價制定信息技術(shù)平安框架 制定信息技術(shù)平安政策和措施 開展信息技術(shù)平安培訓 建立信息技術(shù)風險管理部門，監(jiān)控政策和措施的執(zhí)行 系統(tǒng)評價/審計.信息技術(shù)審計的重點數(shù)據(jù)中心平安評價評價信息技術(shù)部門的職責分工評價物理平安措施，防備對關(guān)鍵電腦和網(wǎng)絡設備的非授權(quán)物理訪問評價日常電腦運作和物理管理控制評價系統(tǒng)開發(fā)和維護控制程序評價測試和變卦管理控制評價備份和復原程序，以及災難復原方案運用系統(tǒng)平安評價評價數(shù)據(jù)輸入控制，例如數(shù)據(jù)驗證和買賣確認評價數(shù)據(jù)處置控制，例如買賣處置、更新和界面控制評價主文件一致性控制評價數(shù)據(jù)輸出控制