第1部分IS審計(jì)綜述ppt課件

1、第一部分電腦技術(shù)在內(nèi)部審計(jì)的運(yùn)用引見 第二部分信息系統(tǒng)管理第三部分信息系統(tǒng)開發(fā)和維護(hù).第一部分電腦技術(shù)在內(nèi)部審計(jì)的運(yùn)用引見概述 .目的對信息系統(tǒng)審計(jì)評價(jià)作普通性了解引見在信息系統(tǒng)管理評價(jià)、可晉級性評價(jià)、信息平安評價(jià)和可用性評價(jià)中運(yùn)用的技術(shù)和流程.信息系統(tǒng)審計(jì)的框架規(guī)范 確定信息系統(tǒng)審計(jì)和報(bào)告的法定要求指引 為信息系統(tǒng)審計(jì)準(zhǔn)那么的運(yùn)用提供指引程序 舉例闡明信息系統(tǒng)審計(jì)師在審計(jì)工程中可遵照的程序可在以下網(wǎng)址查閱信息系統(tǒng)審計(jì)和控制協(xié)會(“ISACA) 準(zhǔn)那么和指引 /stand1.htm.風(fēng)險(xiǎn)和控制國際規(guī)范化組織(“ISO) 定義 風(fēng)險(xiǎn) 為 “利用一項(xiàng)資產(chǎn)或一組資產(chǎn)的薄弱環(huán)節(jié)，某些

2、特定要挾可以導(dǎo)致資產(chǎn)損失或損害的能夠性. 審計(jì)師必需可以識別風(fēng)險(xiǎn)及用于防御這些風(fēng)險(xiǎn)的控制 .安達(dá)信的業(yè)務(wù)風(fēng)險(xiǎn)模型.信息技術(shù)風(fēng)險(xiǎn) 訪問 - 信息的訪問被不適當(dāng)?shù)卦试S或回絕的風(fēng)險(xiǎn)一致性 - 在買賣輸入、買賣處置、匯總和報(bào)告過程中，與授權(quán)、完好性和準(zhǔn)確性相關(guān)的風(fēng)險(xiǎn)相關(guān)性 - 信息與其搜集、維護(hù)或發(fā)布的目的無關(guān)可用性 - 需求時(shí)得不到所需的信息根底設(shè)備 - 企業(yè)沒有有效的信息技術(shù)根底設(shè)備例如硬件、網(wǎng)絡(luò)、軟件、人員和流程，以高效率、低本錢、有組織地滿足企業(yè)的目前和未來需求風(fēng)險(xiǎn)模型.技術(shù)架構(gòu)監(jiān)察事項(xiàng) 風(fēng)險(xiǎn)控制訪問一致性可用性相關(guān)性根底設(shè)備規(guī)條和指引 政策、規(guī)范、開展管理風(fēng)險(xiǎn)管理框架.訪問嚴(yán)密性目的：維護(hù)個(gè)

3、人信息或有價(jià)值信息免遭有意或無意的、未經(jīng)授權(quán)的泄露。信息的讀取能夠會被不恰當(dāng)?shù)卦试S或回絕的風(fēng)險(xiǎn)。未授權(quán)的人員能夠讀取嚴(yán)密信息。發(fā)生于各個(gè)層面網(wǎng)絡(luò)層訪問處置環(huán)境訪問運(yùn)用系統(tǒng)訪問功能層訪問訪問風(fēng)險(xiǎn).一致性 (準(zhǔn)確真實(shí))目的: 維護(hù)重要數(shù)據(jù)免遭有預(yù)謀的或無意的、未經(jīng)授權(quán)的篡改或刪除在買賣輸入公司所運(yùn)用的各種運(yùn)用系統(tǒng)，并在系統(tǒng)內(nèi)進(jìn)展處置、匯總和報(bào)告的過程中，與信息的授權(quán)、完好性和準(zhǔn)確性相關(guān)的風(fēng)險(xiǎn)典型問題：用戶界面、處置、錯(cuò)誤處置、變卦管理、數(shù)據(jù)等一致性風(fēng)險(xiǎn).可用性目的 : 防止對真正的用戶回絕提供信息技術(shù)效力或未經(jīng)授權(quán)地保管效力需求時(shí)不能得到所需信息的風(fēng)險(xiǎn)相關(guān)性信息與其搜集、維護(hù)或發(fā)布的目的不符的風(fēng)險(xiǎn)

4、可用性和相關(guān)性.根底設(shè)備企業(yè)沒有有效的信息技術(shù)根底設(shè)備例如硬件、網(wǎng)絡(luò)、軟件、人員和流程，不可以高效率、低本錢、有組織地滿足企業(yè)的目前和未來的需求重點(diǎn)留意以下中心信息技術(shù)流程組織架構(gòu)運(yùn)用系統(tǒng)的定義、推行和變卦管理物理設(shè)備平安計(jì)算機(jī)和網(wǎng)絡(luò)操作數(shù)據(jù)和數(shù)據(jù)庫的管理業(yè)務(wù)/數(shù)據(jù)中心復(fù)原根底設(shè)備.風(fēng)險(xiǎn)評價(jià)確認(rèn)產(chǎn)生/存儲、運(yùn)用或支配資產(chǎn)的信息資產(chǎn)和潛在的系統(tǒng)資產(chǎn)面對的潛在要挾及能夠帶來的后果確認(rèn)并評價(jià)提出的控制和平安謀劃，以：防止或降低風(fēng)險(xiǎn)發(fā)生的能夠性；警惕風(fēng)險(xiǎn)的發(fā)生并將風(fēng)險(xiǎn)的影響降到最低.風(fēng)險(xiǎn)控制的評價(jià)步驟識別風(fēng)險(xiǎn)控制評價(jià)風(fēng)險(xiǎn)控制設(shè)計(jì)的有效性確定控制措施的正常運(yùn)作測試控制措施運(yùn)作的效果.控制的定義：“可以提

5、供合理保證的政策、措施和組織構(gòu)造“提供適當(dāng)?shù)男畔⒓夹g(shù)維護(hù)并支持關(guān)鍵流程的技術(shù)可擴(kuò)展性IT 戰(zhàn)略規(guī)劃負(fù)載測試訪問操作系統(tǒng)平安防火墻和路由器運(yùn)用程序根底設(shè)備系統(tǒng)監(jiān)控行政管理職責(zé)分工可用性應(yīng)急方案備份/復(fù)原系統(tǒng)設(shè)計(jì)高可用性方案 相關(guān)性系統(tǒng)開發(fā)控制潛在控制.信息技術(shù)風(fēng)險(xiǎn)管理信息技術(shù)風(fēng)險(xiǎn)評價(jià)制定信息技術(shù)平安框架 制定信息技術(shù)平安政策和措施 開展信息技術(shù)平安培訓(xùn) 建立信息技術(shù)風(fēng)險(xiǎn)管理部門，監(jiān)控政策和措施的執(zhí)行 系統(tǒng)評價(jià)/審計(jì).信息技術(shù)審計(jì)的重點(diǎn)數(shù)據(jù)中心平安評價(jià)評價(jià)信息技術(shù)部門的職責(zé)分工評價(jià)物理平安措施，防備對關(guān)鍵電腦和網(wǎng)絡(luò)設(shè)備的非授權(quán)物理訪問評價(jià)日常電腦運(yùn)作和物理管理控制評價(jià)系統(tǒng)開發(fā)和維護(hù)控制程序評價(jià)測試和變卦管理控制評價(jià)備份和復(fù)原程序，以及災(zāi)難復(fù)原方案運(yùn)用系統(tǒng)平安評價(jià)評價(jià)數(shù)據(jù)輸入控制，例如數(shù)據(jù)驗(yàn)證和買賣確認(rèn)評價(jià)數(shù)據(jù)處置控制，例如買賣處置、更新和界面控制評價(jià)主文件一致性控制評價(jià)數(shù)據(jù)輸出控制