02IT审计培训

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,*, 2001,安达信公司,。,所有内容版权属於公司所有,。,第二部分信息系统管理,业务流程,-,使用信息技术的业务功能和流程,应用程序,-,应用软件和功能,数据库,-,数据库管理系统,软件控制,操作平台,-,计算机和操作系统软件,网络,-,LAN, WAN,互联网,内部网和支持系统,物理设备,-,存放、支持和处理信息技术的场所、组件,信息技术系统基本模型的组成,物理设备,网络,操作平台,数据管理,应用程序,业务流程,Environment,系统环境,2,物理设备层,3,物理设备层,楼房,主机房,保护柜,4,网络层,5,网络,局域网,(,LAN),:,计算机之间的地理位置十分接近,(,即在同一栋楼内,)。,广域网,(,WAN),:,计算机间距离较远，并由电话线、无线电波和专线连接。,6,网络组件,协议,:,Netbios, TCP/IP, SNA, IPX, X25.,网络类型,:,租用专线、,ISDN、FDDI、,以太网、,ATM、,无线电、远红外线、微波、,GSM、,卫星,网络设备,:,路由器、防火墙、网桥、加密设备和调制解调器,7,操作平台层,8,硬件平台,不同类型的硬件,大型机,(,OS/390),小型机,(,AS/400, RS/6000),微机,(,PC, Macintosh),计算机组成部件,内存,海量存储器,输入设备,输出设备,中央处理器,9,软件平台,操作系统,(“,OS”),包含连接用户、处理器和应用软件的程序,常用操作系统,:,Window 95/98/NT/2000,Macintosh OS,OS/2,Unix (Linux, AIX),OS/400,MVS/VSE,10,工具程序,工具程序是系统在一般处理运作中经常需要使用的、用以进行系统维护和日常运作的系统软件,例如,:,数据操纵工具程序,在线纠错程序,11,数据库层,12,DBMS 系统,数据库管理系统,(“,DBMS”),协助组织、控制和使用应用程序所需数据的系统软件,常用数据库产品举例,IBM DB2,Oracle Database,Microsoft SQL Server,Sybase,Informix,13,数据库层,字段,记录,表格 (文件),14,应用程序层和业务流程层,15,应用程序和业务流程,应用程序包括所有为最终用户设计的软件,流行应用软件举例,企业资源计划系统,SAP,Oracle Financial,Peoplesoft,财务系统,Kingdee,USoft,工资支付系统,16,信息系统的管理和控制框架,信息系统控制,可以分为以下四个领域,:,可管理性,可用性,一致性和保密性,可扩展性,18,可管理性,19,对信息和技术的依赖日益增加,信息技术环境日益复杂,零散的信息技术基础设施,技术人员供不应求,信息技术成本被视为“失去控制”,企业的机动灵活性受到破坏,信息技术部门的增长令人烦恼用户自行建立了技术方案,信息技术越复杂，就越难于管理，陷入恶性循环,信息系统的管理为什么如此困难? - 普遍趋势,20,可管理性,可管理性涉及以下几个领域:,信息技术战略规划,信息技术安全政策,组织架构管理,系统开发和维护,系统事故报告,21,可管理性,- 信息技术战略规划,22,信息技术战略规划,信息技术战略规划,:,确定有限的信息技术资源的优先次序并进行合理配置，以满足整体目标,长期计划,(,一年以上，一般3至5年,),短期计划,(,一年),上述计划应与企业为实现目标而制定的其它计划一致,23,信息技术战略规划,信息技术战略规划内容,:,1.,确定企业的目标,2.,评估现有的信息系统,3.,确定实现企业目标所需的系统要求,4.,确定信息管理要求的优先次序,5.,设计从现有的信息管理状况达至所需/最优状况的途径,6.,确定职责,7.,根据要求的优先次序和预算限制，制定实施计划,24,可管理性,-,信息技术安全政策,25,信息技术安全政策,信息技术安全政策为什么重要,?,提供标准,有助于成功地实施和维持安全控制措施,有助于提高整个企业对安全问题的警觉性,26,信息技术安全政策,基本要求,该政策必须是,:,可执行、可实施的,简明易懂的,良好地平衡生产和保护二者间的关系,经常更新，跟上企业的变化,该政策应当,:,说明企业在安全方面的所有的风险状况,确定保护企业资产是谁的责任,说明为了提高充分保护将采取的防护措施，以及对违反这些措施的处罚,27,信息技术安全政策,一个良好的安全政策包括,管理层的支持和付出,责任清晰,高度警觉,多方参与,均衡适度,重新评估,注重时效,28,信息技术安全政策,信息技术政策框架:,1.,概述,2.,安全机构,3.,数据/信息技术设备的分类和控制,4.,人员安全,5.,物理访问控制,6.,逻辑访问控制,7.,计算机管理,8.,系统开发和控制,9.,紧急事故和灾害复原,29,可管理性,- 组织架构管理,30,员工职责,系统分析,-,根据用户需要设计系统,应用编程,-,负责开发新系统及生产过程中系统的维护,数据输入,-,通常由用户部门的人员或客户在线进行,计算机操作员,-,进行备份、系统监测和批处理工作,数据库管理员,-,确定并维护数据库的数据结构,31,员工职责,安全管理员,-,制定并监测安全控制,磁带管理员,-,负责记录、收发并保护计算机磁带上保有的所有程序和数据文件,系统编程,-,负责维护系统软件，包括操作系统的软件,质量保证,-,进行测试和检查，保证程序、程序的变更和文档记录符合标准,32,职责分工矩阵,否,功能,负责人,系统操作和批处理的工作,应用系统的开发和维护,应用系统处理和审批会计帐项,管理网络运作,访问授权系统保安,操作系统的安全。维护及优化,访问生产平台,软件开发，维护人员,否,否,否,否,否,否,操作系统支援人员,否,否,否,否,计算机操作员,否,否,否,否,否,网络管理员,否,否,否,否,否,系统保安管理员,否,否,否,否,否,维护应用系统及数据之访问手册,否,否,否,否,否,使用者,否,否,否,否,否,33,可管理性,- 信息系统开发和维护,34,信息系统开发和维护,对信息系统开发和维护的控制,系统规范和设计控制,编程控制,变更控制,程序,/,系统测试,程序目录编制,人员管理,35,可管理性,-,系统事故报告,36,系统事故报告,机器出现问题时是否采取了解决措施。事故报告程序应保证,:,对事故的恰当记录和监测,采取充分的措施识别原因,采取准确的行动解决问题,37,系统事故报告,1.,系统中确实发生不正常现象,2.,在“系统问题日志”中记录该问题,3.,参考以前的案例,4.,识别问题的原因,5.,采取纠正行动解决问题,6.,定期将“系统问题日志：上交管理层审阅,7.,在每月的部门会议中讨论有关问题及采取的纠正措施,38,系统事故报告,事故报告应包括,:,事件,时间段,设备,问题原因,影响,后续措施,结果和建议,39,可用性,40,停机一小时的成本,(,信息周刊,1998,年12月7日),证券经纪业务,$ 650,万/小时,信用卡业务,$ 260,万,机票预售,$ 89,500,纽约证券交易所崩溃,交易停止,59,分钟 (,1998,年10月26日)，造成市值损失,8,亿美元,。,原因,:,路由器线路卡 失灵,可用性隐藏成本,41,可用性评估,审阅证券经纪行的“可用性计划”（如有）,识别对可用性而言非常重要的主要资源,评估可用性设计和技术的充足性 (e.g. 冗余, 容错设备),保证制定有充分的备份、恢复和应急计划,42,高可用性计划目的,防止经营业务免受重大故障或灾害的影响,识别并降低潜在风险,保证迅速恢复经营活动和运作,43,识别重要资源,服务器硬件 (电源, 硬盘),路由器,网络带宽,应用软件容量,数据库系统,44,可用性设计,电源保护,磁盘阵列,冗余技术,负载均衡,45,电源保护,本地供电故障,服务器、路由器或其它网络元件的内部电源,电压变化,尖峰、电涌、电压下降和长时低压,(,电源保护),短期断电,为时一瞬间或长达数分钟的外部电源故障,(,UPS),长期断电,为时数分钟、几个小时或甚至几天的外部电源故障,(,发电机),46,提高可用性- 最佳实务,为生产服务器准备实时后备服务器,所有硬件设备冗余，消除单点失败,为网上证券交易系统建立灾难后备地点，并放在不同于原地址的地方,RAID 磁盘及镜像,安装负载均衡设备,对网络设备执行24小时可用性监测流程,原址和灾害后备地址中均安装电源保护系统、UPS和消防系统,47,提高可用性 - 最佳实务,48,数据备份,检查企业是否恰当地进行了备份,增量备份，保存上次增量备份后更新的所有文件,全部备份，保存所有数据,49,检查备份程序和备份日志,备份程序,每条数据备份日志应记录以下项目,:,数据备份日期,数据备份范围,(,文件,/,目录),储存操作数据的数据媒质,储存备份数据的数据媒质,数据备份硬件和软件,(,连同版本号,),数据备份参数,(,数据备份类型等,),自动备份软件,CA ARCserve,IBM ADSM,50,一般备份程序,网络管理员设置备份软件，以及时进行备份,每天早晨，由网络管理员审阅备份日志，检查备份是否正确进行,备份磁带储存在选择好的场外地点,网络管理员保存一份所有备份的详细日志，包括,:,备份的日期、时间,规范,(,增量,/,全部),完成状况,进行备份的人员姓名等,网络管理员应经常进行部分还原,51,磁带/磁带机,磁带使用两年后应当作废,磁带机使用40小时后应当清洁,磁带保留,每日磁带应由网络管理员存放在计算机房内,每周、每月和每年的磁带应当储存在场外,周末磁带存放一个月,月末磁带存放一年,年末磁带存放七年,磁带存放在防火保险柜中,52,存储管理,存储空间管理,网络管理员密切监测服务器硬盘上的存储空间,服务器硬盘上存储空间的数量不应超过磁盘总容量的75,网络管理员负责向信息技术经理汇报存储空间状态,文件的删除,用户负责删除过时的文件,每年，网管员将清除上一年网络上过时的所有文件,53,灾害预防的规划和应对措施,灾害是对企业大部分有影响的大规模事件,大地震、洪水、飓风、龙卷风等,持续超过48小时的停电,楼房结构毁损,计划的主要目标是列明任务，保证重要资源的运行，并将灾害的影响降至最低,保证灾害应对措施所需的重要信息保存在场外，并在灾害发生后能够轻易地取得,。,54,灾害预防的规划和应对措施,计划内应包括根据损害的不同程度，应采取的几种操作方式,确定是需要“热”站点还是“冷”站点,每年应进行几次灾害预防演习,55,灾害恢复和应急计划,经营计划 -,确定主要的业务功能,确定资源,-,应急计划应指明执行一项功能所需要的所有资源,设想未来状况,-,企业应当预计潜在的紧急情况或灾害,创建战略,-,应根据可行性和成本等实际情况选择应急规划战略,测试并修改计划,56,保密性,57,保密性评估,检查是否执行了现行的安全政策,评估对企业系统内处理、存储和保持的敏感信息的保护控制 (例如网上交易系统中的数据库和网络内容),评估控制用户访问的方法,检查病毒控制程序,评估监测并报告违规行为的方法,评估用以实现交易保密性/验证/一致性的方法,58,保密性,-,逻辑访问控制,59,访问授权资格,:,谁可以进行网络工作,?,-,企业层次,-,个人层次,根据以下原则给予访问权限,“,工作需要” “有必要知道,” “,最小权限,”,逻辑访问,60,强制性培训和教育,(,根据用户水平进行,):如何正确使用网络,?,信息分类,?,生产率问题,?,逻辑访问,61,逻辑访问审核,1. 熟悉信息处理环境,2.,记录访问路径,最终用户使用终端登录,应保证终端的物理安全,登录身份/密码应当有所限制,通讯软件,保证软件中已定义恰当的应用程序,(,例如,TCP/IP, SNA),交易处理软件,软件将交易传送给恰当的应用软件,主要的审核事项包括恰当地识别/验证用户的身份,并授权用户可以访问该软件,62,逻辑访问审核,2. 记录访问路径,(,续前),应用软件,根据程序逻辑处理事务,数据库管理系统,保证所有的数据元素均可在数据目录中找到,限定只有数据库管理员才能访问数据目录,所有的数据元素均要受逻辑访问控制,访问控制软件,使所有上述部件均处于逻辑访问安全的范围之内,保证访问规则是以“有必要知道”为依据的,63,逻辑访问审核,3. 审阅网络拓扑图,网络图说明计算机、终端和网络设备、调制解调器和拨号线等外设之间的电信链接,审计员应当检查连接，确定是否实行了恰当的物理和逻辑访问控制,审核流程可能要包括对局域网访问控制的评估,并且评估操作系统和应用系统的访问控制,4.,约见系统和网络人员,5.,检查访问控制软件生成的报告,6. 审阅应用系统操作手册,7.,审阅书面政策、程序和标准,8.,逻辑访问安全政策,9.,正式的安全意识培训,64,密码管理核查,为系统/网络建立密码政策，并建立文档记录,所有密码最少由6个字母组成,密码不能重复使用,输入时密码不会显示,密码生成时只有所有人和管理员知道,密码有使用期限,输入密码时只能试3次,密码内容不包括字典用字、用户姓名或明显的词组,用户建立账户后立即更改密码,用户不会将密码写在标签上或显眼的地方,用户每隔60至90天更改一次密码,65,逻辑访问测试,安全测试,使用终端卡和钥匙,终端标识,登录,ID,和密码,生产资源控制,日志和计算机访问违规报告,拨号访问控制,网络变更的授权,识别旁路安全法和补救措施,66,用户 ID 管理,用户账户管理,用户,ID,创建,/,取消程序,审计和管理层检查,检测未授权/非法活动,67,用户 ID 维护,用户,ID,的维护 -,企业必须保证所有的用户,ID,属于目前获得授权的用户。必须不断增加新用户并删除已不存在的用户，以保持身份识别数据的有效性。,不使用的用户,ID,在一段特定的时间内（如3个月）内不使用的用户,ID,应当作废。,68,保密性,- 物理访问控制,69,物理安全因素,对网络设备的物理访问应当严加控制,前端和网络服务器,配线盒和配电板,加密设备,电缆,对网络分析工具的访问也要小心控制,应当提防利用通信媒体的敏感性进行线路窃听,70,小心网络连接：对网络服务器和应用程序的访问进行限制,考虑将敏感系统隔离,(,部分地或全部地,),物理访问控制,71,网络访问风险,未经授权进入,损毁、破坏或盗窃设备或文件,复制或查看敏感或版权信息,篡改敏感设备和信息,公开敏感信息,滥用数据处理资源,敲诈勒索,72,物理访问测试,可通过实地观察的方式测试物理防护措施：,门锁,(,栓锁、密码锁、电子锁、生物技术锁）,人工登记,摄像机,警卫,不公布敏感设施的位置,计算机终端锁,报警系统,73,物理访问测试,测试应不仅仅限于信息处理设备,所有放置操作控制台的地点,打印室,计算机存放室,UPS/,发电机,网络图上标明的所有通信设备,磁带储存室,场外备份储存设施,74,保密性,- 病毒预防保护,75,病毒预防,:,-,病毒常常是偶然进入系统的，并且由于现在的网络相互连接程度高，往往迅速蔓延,-,随着系统的日益开放，互联网和普通应用程序更容易遭受病毒的入侵。,病毒预防,76,病毒预防,消除下载的风险,了解病毒搜索的问题,对网络的信息进行控制,使用并更新反病毒工具,77,病毒预防,病毒的感染往往是通过电子邮件的附件、磁盘和从外部下载的文件。要确保企业的员工对来自第三方的任何资料保持警惕。,雇员应避免打开于业务无关的电子邮件附件,文件未经防病毒软件扫描前，雇员不得将其发送给外部方面,78,有效的病毒防护措施,向用户进行病毒风险和计算机安全使用教育,使用访问控制软件，限制对系统的访问并保护重要的程序和数据文件,考虑尽量将重要的系统分隔出来,同时使用病毒探测工具,，,在病毒造成巨大损失之前发现病毒,为下载和测试外部媒体和软件建立合理的政策,为重要的程序和数据文件恰当地建立备份,建立一项计划，一旦发现病毒立刻将其隔离并消灭,79,可扩展性,80,容量规划步骤,制定目标（在经营计划中），系统地进行扩展,尽早并经常地在网络应用程序的开发过程中，结合考虑负载测试,设定增长的负载容量值，并不断监测,81,- 服务器性能,:,磁盘容量,CPU/,内存使用,-,网络使用,:,*,速度放慢,=,停机,*,互联网使用监测,-,客户反应时间,监控,82,扩展方案的步骤,了解环境,确定最受影响的元件,选择将使用的升级技术,重新评估,83,问题？,84,