首页 > 文章中心 > 信息安全审计报告

信息安全审计报告

前言:想要写出一篇令人眼前一亮的文章吗?我们特意为您整理了5篇信息安全审计报告范文,相信会为您的写作带来帮助,发现更多的写作思路和灵感。

信息安全审计报告

信息安全审计报告范文第1篇

关键词: 涉密网络;安全审计;主机审计;系统设计

1  引 言

随着网络与信息系统的广泛使用,网络与信息系统安全问题逐渐成为人们关注的焦点。

涉密网与因特网之间一般采取了物理隔离的安全措施,在一定程度上保证了内部网络的安全性。然而,网络安全管理人员仍然会对所管理网络的安全状况感到担忧,因为整个网络安全的薄弱环节往往出现在终端用户。网络安全存在着“木桶”效应,单个用户计算机的安全性不足时刻威胁着整个网络的安全[ 1 ] 。如何加强对终端用户计算机的安全管理成为一个急待解决的问题。

本文从系统的、整体的、动态的角度,参照国家对安全审计产品的技术要求和对部分主机审计软件的了解,结合实际的信息安全管理需求,讨论主机审计系统的设计,达到对终端用户的有效管理和控制。

2  安全审计概念。

计算机网络信息系统中信息的机密性、完整性、可控性、可用性和不可否认性,简称“五性”,安全审计是这“五性”的重要保障之一[2 ] 。

凡是对于网络信息系统的薄弱环节进行测试、评估和分析,以找到极佳途径在最大限度保障安全的基础上使得业务正常运行的一切行为和手段,都可以叫做安全审计[3 ] 。

传统的安全审计多为“日志记录”,注重事后的审计,强调审计的威慑作用和安全事件的可核查性。随着国家信息安全政策的改变,美国首先在信息保障技术框架( IA TF) 中提出在信息基础设置中进行所谓“深层防御策略(Defense2in2Dept h St rategy) ”,对安全审计系统提出了参与主动保护和主动响应的要求[4 ] 。这就是现代网络安全审计的雏形,突破了以往“日志记录”

等浅层次的安全审计概念,是全方位、分布式、多层次的强审计概念,符合信息保障技术框架提出的保护、检测、反应和恢复( PDRR) 动态过程的要求,在提高审计广度和深度的基础上,做到对信息的主动保护和主动响应。

3  主机审计系统设计。

安全审计从技术上分为网络审计、数据库审计、主机审计、应用审计和综合审计。主机审计就是获取、记录被审计主机的状态信息和敏感操作,并从已有的主机系统审计记录中提取信息,依据审计规则分析判断是否有违规行为。

一般网络系统的主机审计多采用传统的审计,涉密系统的主机审计应采用现代综合审计,做到对信息的主动保护和主动响应。因此,涉密网络的主机审计在设计时就应该全方位进行考虑。

3. 1  体系架构。

主机审计系统由控制中心、受控端、管理端等三部分组成。管理端和控制中心间为B/ S架构,管理端通过浏览器访问控制中心。对于管理端,其操作系统应不限于Windows ,浏览器也不是只有IE。管理端地位重要,应有一定保护措施,同时管理端和控制中心的通讯应有安全保障,可考虑隔离措施和SHTTP 协议。

主机审计能够分不同的角色来使用,至少划分安全策略管理员、审计管理员、系统管理员。

安全策略管理员按照制定的监控审计策略进行实施;审计管理员负责定期审计收集的信息,根据策略判断用户行为(包括三个管理员的行为) 是否违规,出审计报告;系统管理员负责分配安全策略管理员和审计管理员的权限。三员的任何操作系统有相应记录,对系统的操作互相配合,同时互相监督,既方便管理,又保证整个监控体系和系统本身的安全。控制中心是审计系统的核心,所有信息都保存在控制中心。因此,控制中心的操作系统和数据库最好是国内自己研发的。控制中心的存储空间到一定限额时报警,提醒管理员及时备份并删除信息,保证审计系统能够采集新的信息。

3. 2  安全策略管理。

不同的安全策略得到的审计信息不同。安全策略与管理策略紧密挂钩,体现安全管理意志。在审计系统上实施安全策略前,应根据安全管理思想,结合审计系统能够实现的技术途径,制定详细的安全策略,由安全员按照安全策略具体实施。如安全策略可以分部门、分小组制定并执行。安全策略越完善,审计越彻底,越能反映主机的安全状态。

主机审计的安全策略由控制中心统一管理,策略发放采取推拉结合的方式,即由控制中心向受控端推送策略和受控端向控制中心拉策略的方式。当安全策略发生更改时,控制中心可以及时将策略发给受控端。但是,当受控端安装了防火墙时,推送方式将受阻,安全策略发送不到受控端。由受控端向控制中心定期拉策略,可以保证受控端和控制中心的通讯不会因为安装个人防火墙或其他认证保护措施而中断。联网主机(服务器、联网PC 机) 通过网络接收控制中心的管理策略向控制中心传递审计信息。单机(桌面PC 或笔记本) 通过外置磁介质(如U 盘、移动硬盘) 接收控制中心管理策略。审计信息存放在主机内,由管理员定期通过外置磁介质将审计信息传递给控制中心。所有通讯采用SSL 加密方式传输,确保数据在传输过程中不会被篡改或欺骗。

为了防止受控端脱离控制中心管理,受控端程序应由安全员统一安装在受控主机,并与受控主机的网卡地址、IP 地址绑定。该程序做到不可随意卸载,不能随意关闭审计服务,且不影响受控端的运行性能。受控端一旦安装受控程序,只有重装操作系统或由安全员卸载,才能脱离控制中心的管理。联网时自动将信息传到控制中心,以保证审计服务不会被绕过。[ hi138\Com]

3. 3  审计主机范围。

涉密信息系统中的主机有联网主机、单机等。常用操作系统包括Windows 98 ,Windows2000 ,Windows XP ,Linux ,Unix 等。主机审计系统的受控端支持装有不同操作系统的联网主机、单机等,实现使用同一软件解决联网机、单机、笔记本的审计问题。

根据国家有关规定,涉密信息系统划分为不同安全域。安全域可通过划分虚拟网实现,也可通过设置安全隔离设备(如防火墙) 实现。主机审计系统应考虑不同安全域中主机的管理和控制,即能够对不同网段的受控端和安装了防火墙的受控端进行控制并将信息收集到控制中心,以便统一进行审计。同时能给出简单网络拓扑,为管理人员提供方便。

3. 4  主机行为监控。

一般计算机使用人员对计算机软硬件尤其是信息安全知识了解不多,不清楚计算机的安全状态。主机审计系统的受控端软件应具有主机安全状态自检功能,主要用于检查终端的安全策略执行情况,包括补丁安装、弱口令、软件安装、杀毒软件安装等,形成检查报告,让使用人员对本机的安全状况有一个清楚的认识,从而有针对性地采取措施。自检功能可由使用人员自行开启或关闭。检查报告上传给控制中心。

主机审计系统对使用受控端主机人员的行为进行限制、监控和记录,包括对文档的修改、拷贝、打印的监控和记录,拨号上网行为的监控和记录,各种外置接口的禁止或启用(并口、串口、USB 接口等) ,对USB 设备进行分类管理,如USB 存储设备(U 盘,活动硬盘) 、USB 输入设备(USB 键盘、鼠标) 、USB2KEY以及自定义设备。通过分类和灵活设置,增强实用性,对受控主机添加和删除设备进行监控和记录,对未安装受控端的主机接入网络拒绝并报警,防止非法主机的接入。

主机审计系统对接入计算机的存储介质进行认证、控制和报警。做到经过认证的合法介质可以从主机拷贝信息;未通过认证的非法介质只能将信息拷入主机内,不能从主机拷出信息到介质内,否则产生报警信息,防止信息被有意或者无意从存储设备(尤其是移动存储设备) 泄漏出去。在认证时,把介质分类标识为非密、秘密、机密。当合法介质从主机拷贝信息时,判断信息密级(国家有关部门规定,涉密信息必须有密级标识) ,拒绝低密级介质拷贝高密级信息。

在认证时,把移动介质编号,编号与使用人员对应。移动介质接入主机操作时记录下移动介质编号,以便审计时介质与人对应。涉密信息被拷贝时会自动加密存储在移动介质上,加密存储在移动介质上的信息也只能在装有受控端的主机上读写,读写时自动解密。认证信息只有在移动介质被格式化时才能清除,否则无法删除。有防止系统自动读取介质内文档的功能,避免移动介质接在计算机上(无论是合法还是非法计算机) 被系统自动将所有文档读到计算机上。

3. 5  综合审计及处理措施。

要达到综合审计,主机审计系统需要通过标准接口对多种类型、多个品牌的安全产品进行管理,如主机IDS、主机防火墙、防病毒软件等,将这些安全产品的日志、安全事件集中收集管理,实现日志的集中分析、审计与报告。同时,通过对安全事件的关联分析,发现潜在的攻击征兆和安全趋势,确保任何安全事件、事故得到及时的响应和处理。把主机上一个个原本分离的网络安全产品联结成一个有机协作的整体,实现主机安全管理过程实时状态监测、动态策略调整、综合安全审计、数据关联处理以及恰当及时的威胁响应,从而有效提升用户主机的可管理性和安全水平,为整体安全策略制定和实施提供可靠依据。

系统的安全隐患可以从审计报告反映出来,因此审计系统的审计报告是很重要的。审计报告应将收集到的所有信息综合审计,按要求显示并打印出来,能用图形说明问题,能按标准格式(WORD、HTML 、文本文件等) 输出。但是,审计信息数据多,直接将收集的信息分类整理形成的报告不能很好的说明问题,还应配合审计员的人工分析。这些信息可以由审计员定期从控制中心数据库备份恢复。备份的数据自动加密,恢复时自动解密。审计信息也可以删除,但是删除操作只能由审计员发起,经安全员确认后才执行,以保证审计信息的安全性、完整性。

审计系统发现问题的修复措施一般有打补丁、停止服务、升级或更换程序、去除特洛伊等后门程序、修改配置和权限、专门的解决方案等。为了保证所有主机都能得到有效地处理,通过控制中心统一向受控端发送软件升级包、软件补丁。发送时针对不同版本操作系统,由受控端自行选择是否自动执行。因为有些软件升级包、软件补丁与应用程序有冲突,会影响终端用户的工作。针对这种情况,只能采取专门的解决方案。

在复杂的网络环境中,一个涉密网往往由不同的操作系统、服务器,防火墙和入侵检测等众多的安全产品组成。网络一旦遭受攻击后,专业人员会把不同日志系统里的日志提取出来进行分析。不同系统的时间没有经过任何校准,会不必要地增加日志分析人员的工作量。系统应提供全网统一的时钟服务,将控制中心设置为标准时间,受控端在接收管理的同时,与控制中心保持时间同步,实现审计系统的时间一致性,从而提供有效的入侵检测和事后追查机制。

4  结束语

涉密系统的终端安全管理是一个非常重要的问题,也是一个复杂的问题,涉及到多方面的因素。本文从体系架构、安全策略管理、审计主机范围、主机行为监控、综合审计及处理措施等方面提出主机审计系统的设计思想,旨在与广大同行交流,共同推进主机审计系统的开发和研究,最终开发出一个全方位的符合涉密系统终端安全管理需求的系统。

参考文献

[1 ]  网络安全监控平台技术白皮书。 北京理工大学信息安全与对抗技术研究中心,2005.

[2 ]  王雪来。 涉密计算机信息系统的安全审计。 见:中国计算机学会信息保密专业委员会论文集,13 :67 - 72.

信息安全审计报告范文第2篇

国都兴业是国内最早研发、生产网络应用监控审计类产品的知名企业。国都兴业的“网络慧眼”连续两年入选中央国家机关网络安全产品协议供货商名录,通过公安部、军队等信息安全产品认证,并被授予“2008年度最值得信赖品牌奖”。

国都兴业拥有来自军队、科研机构、国内知名院校的专家学者组成的研发团队,拥有与国家信息技术安全研究中心(N&A)共同组建的网络安全监控技术实验室,在为政府、军队、金融、电信、能源、医疗、教育等行业提供了完善的网络安全解决方案和服务的同时,还承担了多项国家、军队的科研攻关项目。

国都兴业以雄厚的技术实力、优秀的产品和优质的服务获得业界的广泛认可,荣获“中国信息化建设30周年杰出贡献单位奖”,入选北京信息安全服务平台2008年度运维支持单位,并圆满完成了2008年奥运网络安全评估与保障任务,被授予“共铸网络利剑,携手平安奥运”的嘉奖。

国都兴业的信息审计解决方案和服务:

网络慧眼

网络慧眼是国都兴业拥有自主知识产权的专业信息审计系列产品,能够满足用户对网络应用、信息系统安全、数据库应用安全等关键数据审计的要求。全面监测信息系统内各类应用的操作过程和内容,通过深层次的审计分析,生成详细的追踪记录及审计报告,广泛应用于企业IT内控管理、萨班斯合规性检查、安全等级保护、信息系统运行审计、信息系统的安全保密监控、数据库应用审计、网络行为监控与内容监管等方面。

网络审计/上网行为管理

它可以帮助用户全面掌控各类网络应用的运行情况,建立更易于管理、更加安全高效的互联网环境,并可对应用内容进行深入处理分析,建立严格有效的互联网管理策略,避免法律、政治风险,借助信息审计专业挖掘工具,确保安全隐患的及时发现,保障组织的信息安全。

数据库/服务器审计

它可以帮助客户了解何人、何时对数据库或服务器做过何种操作,结合数据库日志的收集与分析,实时监控数据库的访问对象与操作过程,实现安全事件报警和风险预测,为客户提供客观、完整、准确的安全审计信息。

终端/日志审计

收集企业范围内的安全和系统的日志信息,通过归类、合并、关联、优化、直观呈现等方法,集中收集来自不同操作系统服务器、第三方网络和安全设备的日志和事件信息,从海量数据中精确识别出关键的安全事件数据,帮助用户明显地降低受到来自外界和内部的恶意侵袭的风险。

信息安全审计报告范文第3篇

电子数据安全是建立在机安全基础上的一个子项安全系统,它既是计算机网络安全概念的一部分,但又和计算机网络安全紧密相连,从一定意义上讲,计算机网络安全其实质即是电子数据安全。国际标准化组织(ISO)对计算机网络安全的定义为:“计算机系统有保护计算机系统的硬件、软件、数据不被偶然或故意地泄露、更改和破坏。”欧洲几个国家共同提出的“信息技术安全评级准则”,从保密性、完整性和可用性来衡量计算机安全。对电子数据安全的衡量也可借鉴这三个方面的,保密性是指计算机系统能防止非法泄露电子数据;完整性是指计算机系统能防止非法修改和删除电子数据;可用性是指计算机系统能防止非法独占电子数据资源,当用户需要使用计算机资源时能有资源可用。

二、电子数据安全的性质

电子数据安全包括了广义安全和狭义安全。狭义安全仅仅是计算机系统对外部威胁的防范,而广义的安全是计算机系统在保证电子数据不受破坏并在给定的时间和资源内提供保证质量和确定的服务。在电子数据运行在电子商务等以计算机系统作为一个组织业务目标实现的核心部分时,狭义安全固然重要,但需更多地考虑广义的安全。在广义安全中,安全涉及到更多的方面,安全问题的性质更为复杂。

(一)电子数据安全的多元性

在计算机网络系统环境中,风险点和威胁点不是单一的,而存在多元性。这些威胁点包括物理安全、逻辑安全和安全管理三个主要方面。物理安全涉及到关键设施、设备的安全和硬件资产存放地点的安全等内容;逻辑安全涉及到访问控制和电子数据完整性等方面;安全管理包括人员安全管理政策、组织安全管理政策等内容。电子数据安全出现问题可能是其中一个方面出现了漏洞,也可能是其中两个或是全部出现互相联系的安全事故。

(二)电子数据安全的动态性

由于信息技术在不断地更新,电子数据安全问题就具有动态性。因为在今天无关紧要的地方,在明天就可能成为安全系统的隐患;相反,在今天出现问题的地方,在将来就可能已经解决。例如,线路劫持和窃听的可能性会随着加密层协议和密钥技术的广泛大大降低,而客户机端由于B0这样的黑客程序存在,同样出现了安全需要。安全问题的动态性导致不可能存在一劳永逸的解决方案。

(三)电子数据安全的复杂性

安全的多元性使仅仅采用安全产品来防范难以奏效。例如不可能用一个防火墙将所有的安全问题挡在门外,因为黑客常常利用防火墙的隔离性,持续几个月在防火墙外试探系统漏洞而未被发觉,并最终攻入系统。另外,攻击者通常会从不同的方面和角度,例如对物理设施或协议、服务等逻辑方式对系统进行试探,可能绕过系统设置的某些安全措施,寻找到系统漏洞而攻入系统。它涉及到计算机和网络的硬件、软件知识,从最底层的计算机物理技术到程序设计内核,可以说无其不包,无所不在,因为攻击行为可能并不是单个人的,而是掌握不同技术的不同人群在各个方向上展开的行动。同样道理,在防范这些问题时,也只有掌握了各种入侵技术和手段,才能有效的将各种侵犯拒之门外,这样就决定了电子数据安全的复杂性。

(四)电子数据安全的安全悖论

,在电子数据安全的实施中,通常主要采用的是安全产品。例如防火墙、加密狗、密钥等,一个很的问题会被提出:安全产品本身的安全性是如何保证的?这个问题可以递归地问下去,这便是安全的悖论。安全产品放置点往往是系统结构的关键点,如果安全产品自身的安全性差,将会后患无穷。当然在实际中不可能无限层次地进行产品的安全保证,但一般至少需要两层保证,即产品开发的安全保证和产品认证的安全保证。

(五)电子数据安全的适度性

由以上可以看出,电子数据不存在l00%的安全。首先由于安全的多元性和动态性,难以找到一个对安全问题实现百分之百的覆盖;其次由于安全的复杂性,不可能在所有方面应付来自各个方面的威胁;再次,即使找到这样的方法,一般从资源和成本考虑也不可能接受。目前,业界普遍遵循的概念是所谓的“适度安全准则”,即根据具体情况提出适度的安全目标并加以实现。

三、电子数据安全审计

电子数据安全审计是对每个用户在计算机系统上的操作做一个完整的记录,以备用户违反安全规则的事件发生后,有效地追查责任。电子数据安全审计过程的实现可分成三步:第一步,收集审计事件,产生审记记录;第二步,根据记录进行安全违反;第三步,采取处理措施。

电子数据安全审计工作是保障计算机信息安全的重要手段。凡是用户在计算机系统上的活动、上机下机时间,与计算机信息系统内敏感的数据、资源、文本等安全有关的事件,可随时记录在日志文件中,便于发现、调查、分析及事后追查责任,还可以为加强管理措施提供依据。

(一)审计技术

电子数据安全审计技术可分三种:了解系统,验证处理和处理结果的验证。

1.了解系统技术

审计人员通过查阅各种文件如程序表、控制流程等来审计。

2.验证处理技术

这是保证事务能正确执行,控制能在该系统中起作用。该技术一般分为实际测试和性能测试,实现方法主要有:

(1)事务选择

审计人员根据制订的审计标准,可以选择事务的样板来仔细分析。样板可以是随机的,选择软件可以扫描一批输入事务,也可以由操作系统的事务管理部件引用。

(2)测试数据

这种技术是程序测试的扩展,审计人员通过系统动作准备处理的事务。通过某些独立的,可以预见正确的结果,并与实际结果相比较。用此方法,审计人员必须通过程序检验被处理的测试数据。另外,还有综合测试、事务标志、跟踪和映射等方法。

(3)并行仿真。审计人员要通过一程序来仿真操作系统的主要功能。当给出实际的和仿真的系统相同数据后,来比较它们的结果。仿真代价较高,借助特定的高级语音可使仿真类似于实际的应用。

(4)验证处理结果技术

这种技术,审计人员把重点放在数据上,而不是对数据的处理上。这里主要考虑两个:

一是如何选择和选取数据。将审计数据收集技术插入应用程序审计模块(此模块根据指定的标准收集数据,监视意外事件);扩展记录技术为事务(包括面向应用的工具)建立全部的审计跟踪;借用于日志恢复的备份库(如当审计跟踪时,用两个可比较的备份去检验账目是否相同);通过审计库的记录抽取设施(它允许结合属性值随机选择文件记录并放在工作文件中,以备以后),利用数据库管理系统的查询设施抽取用户数据。

二是从数据中寻找什么?一旦抽取数据后,审计人员可以检查控制信息(含检验控制总数、故障总数和其他控制信息);检查语义完整性约束;检查与无关源点的数据。

(二)审计范围

在系统中,审计通常作为一个相对独立的子系统来实现。审计范围包括操作系统和各种应用程序。

操作系统审计子系统的主要目标是检测和判定对系统的渗透及识别误操作。其基本功能为:审计对象(如用户、文件操作、操作命令等)的选择;审计文件的定义与自动转换;文件系统完整性的定时检测;审计信息的格式和输出媒体;逐出系统、报警阀值的设置与选择;审计日态记录及其数据的安全保护等。

应用程序审计子系统的重点是针对应用程序的某些操作作为审计对象进行监视和实时记录并据记录结果判断此应用程序是否被修改和安全控制,是否在发挥正确作用;判断程序和数据是否完整;依靠使用者身份、口令验证终端保护等办法控制应用程序的运行。

(三)审计跟踪

通常审计跟踪与日志恢复可结合起来使用,但在概念上它们之间是有区别的。主要区别是日志恢复通常不记录读操作;但根据需要,日记恢复处理可以很容易地为审计跟踪提供审计信息。如果将审计功能与告警功能结合起来,就可以在违反安全规则的事件发生时,或在威胁安全的重要操作进行时,及时向安检员发出告警信息,以便迅速采取相应对策,避免损失扩大。审计记录应包括以下信息:事件发生的时间和地点;引发事件的用户;事件的类型;事件成功与否。

审计跟踪的特点是:对被审计的系统是透明的;支持所有的应用;允许构造事件实际顺序;可以有选择地、动态地开始或停止记录;记录的事件一般应包括以下:被审讯的进程、时间、日期、数据库的操作、事务类型、用户名、终端号等;可以对单个事件的记录进行指定。

按照访问控制类型,审计跟踪描述一个特定的执行请求,然而,数据库不限制审计跟踪的请求。独立的审计跟踪更保密,因为审计人员可以限制时间,但代价比较昂贵。

(四)审计的流程

数据安全审计工作的流程是:收集来自内核和核外的事件,根据相应的审计条件,判断是否是审计事件。对审计事件的内容按日志的模式记录到审计日志中。当审计事件满足报警阀的报警值时,则向审计人员发送报警信息并记录其内容。当事件在一定时间内连续发生,满足逐出系统阀值,则将引起该事件的用户逐出系统并记录其内容。

常用的报警类型有:用于实时报告用户试探进入系统的登录失败报警以及用于实时报告系统中病毒活动情况的病毒报警等。

信息安全审计报告范文第4篇

关键词:风险导向审计;通信运营企业

中图分类号:F239文献标识码:A 文章编号:1001-828X(2011)12-0116-01

一、风险导向审计在工作中的实践运用

1.持续开展年度内部审计风险评估工作

风险评估与控制是风险导向审计的核心,公司自2007年在总部统一部署下,以风险基础战略系统审计方法(SSA)为理论指导,从战略和流程两方面进行经营风险分析和控制分析,从剩余风险对审计的影响角度着手,尝试探索开展内部审计风险评估工作。公司根据运营环境、业务特点以及识别的可审计对象,搭建并在实施基础上不断完善审计风险评估框架。2011年风险评估框架由企业文化管理、收入保障、市场推广及销售、采购及物流管理等17个机制流程共计255个风险评估点构成,涵盖公司策略管理机制、资源管理机制、核心管理流程等。

在风险评估过程中注重定性分析与定量分析相结合,把控评估质量。从战略、财务、市场、运营、合规的影响性和可能性角度客观评价固有风险;通过访谈、查阅、穿行测试、遵从性测试等方法对风险点的关键控制要素逐一落实,采用风险点责任单位自评与评估小组复评相结合方式,逐项评价公司风险控制水平。在固有风险、风险控制水平评估基础上计算剩余风险,并根据分值划分高、中、低风险。同时公司充分考虑近三年审计项目覆盖及审计结果等情况,进一步区分“重点关注”、“适当关注”“暂不关注”审计领域,实现内部审计风险评估目标,推进评估结果的应用。

2.以风险评估结果为导向,制定年度审计计划和项目审计计划

公司在审计计划编制过程中,融合企业风险与审计战略,确保审计方向和范围符合企业风险管理目标。在年度审计计划编制过程中,以企业年度风险评估结果为导向,根据量化的分析水平排定审计项目优先次序,并综合考虑监管机构、董事会、管理层和业务部门的意见和审计需求,提高审计工作效率和效果。如近两年来开展的重要营销资源审计、客户信息安全审计、IT风险审计项目等,既符合行业运营高风险领域特点,又满足了内外部的监管及审计需求;在具体项目审计计划中,使审计目的、范围、内容充分反映风险评价的结果,并考虑舞弊、严重错失、不合规、违规及其他风险存在的可能性,使项目计划内容完整、重点突出。

3.围绕关键风险点和控制点实施审计,提高审计效率

在审计调查基础上,根据对被审计单位内外部运营环境、内部控制的设计及运行情况、以及以往审计结论、审计跟进执行等情况的了解,以审计范围和审计内容为基础,关键风险点为导向进一步完善审计实施方案,其中审计程序要求科学、合理并具有可操作性,审计重点能充分体现确定的重要性水平和风险评估结果。同时,根据审计项目的性质和复杂程度确定审计人员数量和知识结构,并进行合理分工,确保审计项目顺利实施。

在审计实施过程中始终坚持目标-风险-控制的风险导向审计思路,贯穿内部控制管理理念,以分析性复核为基础,综合分析财务与非财务数据,并根据审计内容合理选用其他审计方法和审计抽样技术,确保审计质量,降低审计风险。

4.审计报告以风险评价为基础,客观反映公司运营管理状况

风险导向审计强调以了解被审计单位及其环境为起点进行审计,包括被审计单位的性质、行业状况、监管环境、目标战略、经营风险、内部控制等方面,审计业务的切入点是全局层面的重点审计领域,因此,审计报告首先对审计领域的整体风险情况进行客观评价,准确反映运营管理状况;其次,审计报告对具体审计发现问题从风险发生可能性、影响程度角度衡量风险大小,并从风险控制角度提出改进建议;再次,以风险再评估和风险控制为目标,实施后续跟进审计,协助公司管理风险,实现内部审计增值服务职能。

5.集合审计成果,搭建风险知识库

为充分利用审计成果,内审部将风险控制点、审计程序、历年审计情况及审计结果等内容集合贯通,着手搭建内部审计风险知识库,以实现风险点与审计测试、审计案例等相对应,形成结构化、系统化知识库,更好地提示审计风险,指导审计人员开展审计实务。

二、实施风险导向审计应注意的问题

风险导向审计的运用,有助于将有限的审计资源集中在高风险领域,引导企业合理配置审计资源,提高审计效率和效果。但其实施应注重适应的内外部环境,采取相应措施,防范审计风险。

首先,企业应加强内部控制执行力度,建立健全全面风险管理体系,培育全面风险管理文化和风险管理意识,营造风险导向审计实施的内部环境。

其次,内审部门要关注公司内外部环境变化、运营管理动态和经营风险变化等,不断优化调整年度风险评估范围和方法,保证评估范围的全面性以及评估结果的客观性,从而保证风险导向的准确性。

信息安全审计报告范文第5篇

(一)会计系统存在被攻击、窃取的风险信息系统最容易受到的是病毒与黑客攻击,都会对计算机或信息系统构成安全威胁目前,金融、零售等信息化高度集中的行业很容易遭受到黑客攻击;政府、军队、教育科研等机构也成为黑客攻击的重要对象;会计信息系统,由于涉及到机构的核心机密,更容易受到攻击。据瑞星估算,仅2010年,针对网络的攻击就高达10万次以上,主要来源于美、日、韩等国。一般来讲,经济发达地区受攻击的比例会更高。网络环境下,财务信息将面临被窃取的风险。一方面,许多机构没有成熟的安全管理机制,甚至仅依靠浏览器或Web服务器中的SSL安全协议;另一方面,目前的操作系统主要由国外研制,企业很难判断其中是否存在后门或缺陷,极可能导致财务信息外泄。此外,大型企业的会计信息系统数据主要集中在服务器上,如果服务器管理人员不小心泄露密码,甚至内外勾结,则所有财务信息都可能被窃取。

(二)会计数据真实、完整、可靠性面临考验会计数据有可能会失真,主要有数据篡改和数据伪造两种形式。数据篡改是指入侵者从网上将信息截获,按照数据的格式和规律,修改数据信息,然后发送给目的地,数据篡改破坏了数据的完整性。数据伪造则是指入侵者伪装成“商家”或“合法用户”,给对方发送邮件、订单等虚假信息,从而窃取个人密码或商业信息。会计数据一旦失真,企业将面临巨大的安全隐患。网络环境下,会计档案的存储介质不再是以前的纸质文档,而变成了电子数据。电子数据存储,极大提高了存储效率,也为管理数据带了便利,但有其天然缺陷。当存储介质遇到剧烈振动,或突然遇到停电、火灾等情况时,很可能导致存储的数据失效。当被非法修改时,有可能没有任何痕迹;此外,当网络会计信息系统升级的时候,可能不兼容以前的版本,或者数据格式、数据接口等发生了变化,使得以前的信息不能进入当前的会计信息系统,都有可能导致会计档案失效。信息化会计与传统会计存在很大差别,很多企业由于未能及时建立与信息化方式匹配的内部控制机制,容易导致内部控制失效。如操作人员录入了不正确的字段、使用了无效的代码、或从财务的纸质凭证转录了数据等,都可能影响数据质量,如果缺乏相应的监督检查机制很可能导致内部控制失效。此外,由于网络环境下的会计信息系统数据集中存放于数据库,信息交叉程度提高,依靠帐薄及凭证相互核对错误的机制可能也会失效,传统会计中某些职工分权、相互牵制和约束的机制可能失去作用,信息管理人员或专业人员舞弊会给企业带来不可估量的损失,也是会计信息化面临的破坏力最大的隐患。如有些数据库管理员通过篡改数据获取不当利益,网络会计信息系统可能连痕迹都没留下。

二、网络会计信息系统安全问题原因分析

(一)网络系统的开放性和共享性网络系统的重要特点是开放性和共享性,使网上信息安全存在先天不足,可能会带来一些安全问题。一方面,由于互联网的开放性,网络上所有用户均可共享信息资源,给一些非法访问者提供了可趁之机。另一方面,互联网上的数据往往是没有加密的,这使得用户密码及其他重要数据可能在传输过程中被监听和窃取。此外,在诸多信息系统中实行了分级权限管理,某些部门的操作人员被赋予了太高的权限,可以接触到整个企业的财务会计系统,增加了财务信息被盗的风险。

(二)硬件设备配置不合理网络信息系统中硬件的配置非常重要,尤其是网络服务器及路由器等设备,对网络安全有很大的影响。如果选择了不合理的服务器型号,不仅网络可能不顺畅,网络的稳定性及扩充性也会受到影响;如果选用的路由器缓冲区过小,则在网络延时过程中,可能会流失数据包;如果路由器缓冲区过大,则可能会增加网络延时,这些都会导致网络不安全。

(三)软件系统不合理主要包括两个方面:一是软件系统规划不合理,开发的系统本身存在缺陷;二是软件开发工具选择不合理。(1)软件系统的不合理规划与开发。在规划过程中,系统分析人员没有与会计工作人员及相关用户充分沟通,从而系统的需求分析可能并不能完全反映真实要求。基于这种规划开发的会计信息系统,可能会引起一系列不安全的后果。另外,用户自行开发软件数据常常无法与购买的财务软件数据交流,从而造成资源浪费。(2)软件开发工具的不合理使用。以数据库工具为例,SQLserver、Oracle、Sybase等主要适用于大型系统;Acess、FoxPro等则主要适用于小型系统。值得注意的是,各类数据库工具的安全机制有所不同,所以必须根据系统的规模大小及安全性要求合理选择数据库工具。

(四)制度建设不健全网络环境中,会计系统往往要和业务系统,如采购系统、销售系统、存货管理系统等相关联,实现信息共享,提高会计系统的自动化处理程度。为了让信息安全共享,必须建立内部控制制度,分配角色并赋予权限。此外,股东、银行、税务等机构也可能通过网络与企业的财务会计系统连接,也需要建立相应的内部控制制度。

(五)人员风险人员风险主要分为胜任能力风险及道德风险。胜任能力要求从业人员既要熟练掌握国家会计准则及会计制度,掌握相应的信息技术,而且要具备较强的学习能力。道德风险,则要求财务人员面对诱惑时,能够坚守职业操守。

三、网络会计信息系统安全管理的策略

(一)安全管理的目标对于会计信息系统来说,信息安全主要是要保证信息的保密性、完整性、可用性、真实性、可控制性、可审查性、不可抵赖性等。数据保密性是指数据在网络上传输的时候不被非法窃取,或者虽然被窃取但窃取者不能破解其真正意义;数据完整性是指数据的精确性和可靠性,指数据在传输过程中不被增加、删除、修改内容;可用性是指对于合法用户的正常使用,要保证能够实现而不被拒绝;真实性是指鉴别数据来源,消除非法数据源,确保进入系统的数据是真实可靠的;可控制性是指数据的输入、输出、处理过程是可以控制的;可审查性是指对数据的任何访问与操作(增加、删除、修改)均被纪录下来,便于“信息”追踪或审查;不可抵赖性是指随所有用户的操作进行纪录并存档,防止用户否认已作过的操作。

(二)安全管理的基本思想为了保证会计信息系统的安全,在规划系统时候要全面考虑,按照“全网安全”的思想,实现多层面控制。(图1)是基于该思想的安全体系框架。可以看出,该架构主要由三部分组成:技术体系、组织体系、管理体系。(1)技术体系:技术体系安全架构主要是为系统安全提供技术保障,包括安全技术和技术管理这两大部分。安全技术又分为网络环境安全及信息环境安全两部分。网络环境安全主要指物理安全和环境安全。为防范物理安全问题而导致会计信息安全隐患,要将计算机及相关设施受到物理保护,免于被破坏、丢失等;信息环境安全主要是指系统安全和信息安全。技术管理又分为三大部分:符合ISO标准的技术管理,从安全服务、体系规范、实施细则、安全评估几个侧面分别对会计信息系统安全进行管理;审计监测方面进行技术管理,会计信息系统实时的状态监测、非法入侵时的监控;实施策略方面进行技术管理,财务系统的安全策略、密钥管理。(2)组织体系:组织体系主要为系统安全提供组织人员保障。从机构设置、岗位设置、人事设置三方面进行构建。(3)管理体系:管理体系主要为系统安全提供制度保障。从国家法律立法、企业规章制度、企业业务培训三方面对系统安全给予保障。

(三)安全管理的整体解决方案基于的“全网安全”思想,可以从如下方面对网络会计系统进行整体安全保护:平台安全、硬件安全、软件安全、安全管理制度、人力资源素质。(图2)是基于该思想的网络会计信息系统安全问题整体解决方案。

(1)平台安全。保证网络办公平台安全,是网络会计系统中最重要的部分。本方案中采用三种技术保证平台安全:防火墙、虚拟专用网(VPN)、入侵检测技术。防火墙充当屏障作用,合理使用防火墙能保护企业会计信息安全有效。主要作用在网络入口处检查网络通讯,过滤不安全服务,防止非法用户进入内部网络;限定用户访问特殊网站;对内外部网络进行有效隔离。所有外部网络的访问请求都要通过防火墙检查,使得企业内部网的会计信息系统相当安全。当然,企业会计信息系统应保持相对封闭状态,不能连接与业务无关的终端,更不能连接互联网,仅能与业务相关部门实现资源共享。VPN(VirtualPrivateNetwrok)是利用公共网络资源形成企业专用网,它融合了防火墙和Ipsec隧道加密技术的优点,可以为整个集团内部通信提供安全的信息传输通道,还可以简化网络管理、节约成本。VPN有隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术四项核心技术,为网络安全提供了一定保障。入侵检测是指通过对行为、审计数据、安全日志或其它网络上可获得的信息进行操作,检测到对系统的闯入或闯入的企图。入侵检测技术是为了弥补防火墙的不足,主动检测来自系统外部的入侵、监视防火墙内部的异常行为。实时监控是会计信息系统必备的措施。通过建立操作日志,对日常会计活动中进行全程跟踪,对大额的、异常的经济业务单独列示,详细反映,及时提醒。

(2)硬件安全。硬件系统安全,会计信息系统的正常运行必须要有良好的硬件设备,从硬件系统的配置和管理两方面提出保证。配置方面,选用合适的输入输出设备、调制解调器(MODEM)、路由器等互联设备、及适当的网络服务器。同时,硬件设备必须有过硬的质量和性能,并且数据安装双硬盘,数据双重备份;管理方面,制定机房相关设备的定期检查制度,做好机房防火、防尘、防水、防盗及恒温等保障措施,使用UPS电源(防止停电导致信息中断),重要数据远程备份,安装机房报警系统等。

(3)软件安全。操作系统是整个信息系统安全的基础。一方面,要尽量选择拥有自主知识产权的操作系统,减少“暗门”等对系统安全的影响。目前,我国计算机所使用的操作系统基本上是舶来品,因为缺少自主的技术,会计信息资料网络安全性较低,不能满足会计信息所要求达到的保密程度,对高水平的国产化软件有着迫切的需求;另一方面,会计信息从业人员要注意对操作系统的正确使用,如实时扫描漏洞并进行修补,对帐号、密码及权限进行管理,纪录安全日志并进行审计,下载补丁等,都可以提高操作系统的安全性。数据库软件,会计信息系统的核心就是存储在数据库中的数据,这是一切应用的基础,故需要对数据的安全性、完整性、保密性等方面采取保护措施。在开发数据库软件时,要考虑数据库系统的稳定性、可扩展性和高效性,以及安全性。各种外部数据信息导入之前,必须要经过病毒检测程序,同时对财务数据的导出,必须严格控制,防止信息外泄。对财务软件系统的修改维护必须报经相当领导批准同意。数据备份和数据容灾是保护数据库的重要措施,数据备份是指在远程网络设备上保存数据,防止数据的丢失和损坏;数据容灾是指在异地建立两套或多套功能相同的IT系统,相互进行状态监视和功能切换,当一处系统因意外停止工作时,整个应用系统可以切换到另一处,使系统功能可以继续正常工作。

(4)安全管理制度。包括应用控制、数据控制、访问控制、安全管理体系、内部审计五个方面。应用控制是指在会计信息系统中,应用控制指的是对具体的数据处理活动进行控制,包括数据的输入、输出和处理控制。数据输入时,会计信息系统要能达到纠正数据合理性、重复输入校验、逻辑关系测试等工作。网络环境下,会计资料的输入由多人承担,可设置不同的复核方式,由系统对存在差异的数据进行比较。多用户同时进行操作时,系统自动生成连续的凭证号,使数据有效清晰。严格限制财务数据的修改权限,对修改数据的操作,应提供可打印备查界面。电子数据发放及接收都有认证机构提供的记录清单,以保证双方权益。数据控制又称数据保护,可分为安全性控制、完整性控制、并发控制和恢复。安全性控制主要是为了防止数据泄密和破坏,主要措施是授权和收回授权。对企业前内部人员,一定要及时收回授权;完整性控制是为了保证数据的正确性和相容性。数据通信传输过程中保证数据的完整,如果有被篡改的情况,接收方能通过软件及时检测出来。数据输入能否正确进入系统,与数据库软件的输入方式、数据格式及相关数据导入兼容转换有着很大关系。我国很多企业有结合自身特色的会计信息系统,为提高会计信息系统的管理层次,还需将财务信息系统与企业其他管理信息进行有机结合。同时,各不同的财务软件之数据交换,制定统一并规范的标准。并发控制是确保在多个事务同时存取数据库中同一数据时不破坏数据库的统一性。恢复这是指数据库系统发生故障后,能够自动恢复到正常的机制。访问控制是保证网络安全最重要的核心策略之一,主要任务是保证网络资源不被非法使用和访问。访问控制涉及的技术比较广,包括入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。会计计信息数据的访问仅限于经过授权的用户,并且层层加密,禁止处理未经授权的业务。对关键财务信息资源,授权范围应尽可能小。按照网络环境下会计信息系统的需要,设定各级岗位责任及权限,防止非法操作;对不相容的职务要注意分离,不同岗位之间设定一定的制约机制。如系统管理员不能从事日常会计处理业务,记帐凭证一定要复核员复核才能生成帐簿。安全管理体系,严格完善的法律、法规与规章制度是网络环境下会计信息安全的制度保证。我国目前还没有专门的网络会计信息安全的法律法规,暂时还不能满足现有信息安全的需求。因而应逐步制定出符合我国国情的网络会计法律体系,规范网络交通购销支付以及核算行为,为网络会计的发展提供良好的法制环境。另一方面,企业自身也应建立安全管理部门,制定安全管理制度对操作人员实行安全技能培训。使会计信息系统从开发、用户管理、业务操作、数据存储、档案管理等各方面都有章可循。内部审计是指审计人员要熟悉企业会计信息系统的运行机制,不仅要对数据的输入、输出结果进行审查,而且也要对各种规章制度进行审查,确保符合当前会计准则和会计制度。对关键岗位人员,必须进行严格的审查和监督,以防止泄密或对外被篡改的数据或信息。企业应定期及不定期实行安全审计,及时发现系统及用户存在的异常行为。网络环境下也可积极推进远程审计工作,以审计分析软件进行辅助分析判断,通过网络远程审计及时发现问题,公布审计报告,及时纠正错误作法,促进企业会计信息的真实性、完整。

(5)人力资源素质。通过对从业人员思想道德建设,加强员工的职业操守水平,树立职业道德情感,来提高判断是非的能力,使之自觉遵守企业关于信息系统安全的各种规定。选拔会计信息化从业人员时,要进行专业素养考察,使其具备相应的专业能力。同时,建立严格的继续教育及培训制度,提高从业人员胜任能力。加大对现有财务人员的培养力度,尽量培养复合型人才。对于因客观条件的限制,现有企业财务人员不能解决的会计信息系统安全隐患,应咨询相应的企业信息安全机构,得出解决方案,通过逐步改进,提高财务人员的安全技能。

(四)构建整体解决方案中应该注意的问题在构建会计信息系统安全问题整体解决方案中,必须注意以下问题。

(1)进行成本/效益分析。构建信息系统安全解决方案需要消耗大量企业资源,故在实施前必须作成本效益分析,才能保证信息安全构建的进展顺利。成本/效益分析有利于企业内部统一认识,共同推进信息系统的建设与维护。

(2)全局观原则。站在系统工程的角度,对信息系统安全的具体措施错进行详细分析。一般情况下,可以采取的安全措施包括:专业技术措施、行政措施和各项管理制度。其中专业技术措施包括认证识别、存取控制、加密技术防火墙等;管理制度包括所有工作流程处理、系统维护等方面。一个周全的安全管理方案应该是由多种方法综合起来发挥作用的。

(3)一贯性原则。对网络安全的防范应该贯穿会计信息系统的整个生命周期,采取的安全措施必须与存在的问题对应。会计信息系统的规划、设计、系统实现等都需要相应的安全制度和措施。一般来讲,系统的安全是从规划开始的,而不是建设完成后才考虑的。