IT审计培训PPT课件.ppt

1、第二部分第二部分信息系统管理信息系统管理 2001 安达信公司 。 所有内容版权属於公司所有 。业务流程业务流程 - 使用信息技术的业务功能和流程应用程序应用程序 - 应用软件和功能数据库数据库 - 数据库管理系统 软件控制操作平台操作平台 - 计算机和操作系统软件网络网络 - LAN, WAN, 互联网, 内部网和支持系统物理设备物理设备 - 存放、支持和处理信息技术的场所、组件物理设备物理设备网络网络操作平台操作平台数据管理数据管理应用程序应用程序业务流程业务流程Environment 系统环境系统环境2 2001 安达信公司 。 所有内容版权属於公司所有 。3 2001 安达信公司 。

2、所有内容版权属於公司所有 。楼房主机房保护柜4 2001 安达信公司 。 所有内容版权属於公司所有 。5 2001 安达信公司 。 所有内容版权属於公司所有 。局域网局域网 ( (LAN)LAN) : 计算机之间的地理位置十分接近 (即在同一栋楼内)。广域网广域网 ( (WAN)WAN) : 计算机间距离较远，并由电话线、无线电波和专线连接。6 2001 安达信公司 。 所有内容版权属於公司所有 。协议协议: Netbios, TCP/IP, SNA, IPX, X25. 网络类型网络类型: 租用专线、ISDN、FDDI、以太网、ATM、无线电、远红外线、微波、GSM、卫星网络设备网络设备:

3、路由器、防火墙、网桥、加密设备和调制解调器7 2001 安达信公司 。 所有内容版权属於公司所有 。8 2001 安达信公司 。 所有内容版权属於公司所有 。不同类型的硬件大型机 (OS/390)小型机 (AS/400, RS/6000)微机 (PC, Macintosh)计算机组成部件内存海量存储器输入设备输出设备中央处理器9 2001 安达信公司 。 所有内容版权属於公司所有 。操作系统 (“OS”) 包含连接用户、处理器和应用软件的程序常用操作系统: Window 95/98/NT/2000 Macintosh OS OS/2 Unix (Linux, AIX) OS/400 MVS/V

4、SE10 2001 安达信公司 。 所有内容版权属於公司所有 。工具程序是系统在一般处理运作中经常需要使用的、用以进行系统维护和日常运作的系统软件例如: 数据操纵工具程序 在线纠错程序11 2001 安达信公司 。 所有内容版权属於公司所有 。12 2001 安达信公司 。 所有内容版权属於公司所有 。数据库管理系统 (“DBMS”) 协助组织、控制和使用应用程序所需数据的系统软件常用数据库产品举例 IBM DB2 Oracle Database Microsoft SQL Server Sybase Informix13 2001 安达信公司 。 所有内容版权属於公司所有 。字段记录表格 (

5、文件)14 2001 安达信公司 。 所有内容版权属於公司所有 。15 2001 安达信公司 。 所有内容版权属於公司所有 。应用程序包括所有为最终用户设计的软件 流行应用软件举例 企业资源计划系统 SAP Oracle Financial Peoplesoft 财务系统 Kingdee USoft 工资支付系统Application 1Application 3Application 216 2001 安达信公司 。 所有内容版权属於公司所有 。可以分为以下四个领域可以分为以下四个领域: : 可管理性 可用性 一致性和保密性 可扩展性18 2001 安达信公司 。 所有内容版权属於公司所有

6、。19 2001 安达信公司 。 所有内容版权属於公司所有 。对信息和技术的依赖日益增加信息技术环境日益复杂零散的信息技术基础设施技术人员供不应求信息技术成本被视为“失去控制”企业的机动灵活性受到破坏信息技术部门的增长令人烦恼用户自行建立了技术方案信息技术越复杂，就越难于管理，陷入恶性循环20 2001 安达信公司 。 所有内容版权属於公司所有 。可管理性涉及以下几个领域可管理性涉及以下几个领域: :信息技术战略规划信息技术安全政策组织架构管理系统开发和维护系统事故报告21 2001 安达信公司 。 所有内容版权属於公司所有 。22 2001 安达信公司 。 所有内容版权属於公司所有 。信息技

7、术战略规划信息技术战略规划: :确定有限的信息技术资源的优先次序并进行合理配置，以满足整体目标长期计划 (一年以上，一般3至5年)短期计划 (一年)上述计划应与企业为实现目标而制定的其它计划一致23 2001 安达信公司 。 所有内容版权属於公司所有 。信息技术战略规划内容信息技术战略规划内容: :1. 确定企业的目标2. 评估现有的信息系统3. 确定实现企业目标所需的系统要求4. 确定信息管理要求的优先次序5. 设计从现有的信息管理状况达至所需/最优状况的途径6. 确定职责7. 根据要求的优先次序和预算限制，制定实施计划24 2001 安达信公司 。 所有内容版权属於公司所有 。25 200

8、1 安达信公司 。 所有内容版权属於公司所有 。信息技术安全政策为什么重要信息技术安全政策为什么重要? ?提供标准有助于成功地实施和维持安全控制措施有助于提高整个企业对安全问题的警觉性26 2001 安达信公司 。 所有内容版权属於公司所有 。基本要求基本要求该政策必须是该政策必须是: : 可执行、可实施的 简明易懂的 良好地平衡生产和保护二者间的关系 经常更新，跟上企业的变化该政策应当 : : 说明企业在安全方面的所有的风险状况 确定保护企业资产是谁的责任 说明为了提高充分保护将采取的防护措施，以及对违反这些措施的处罚27 2001 安达信公司 。 所有内容版权属於公司所有 。一个良好的安全

9、政策包括一个良好的安全政策包括管理层的支持和付出责任清晰高度警觉多方参与均衡适度 重新评估注重时效28 2001 安达信公司 。 所有内容版权属於公司所有 。信息技术政策框架信息技术政策框架: :1. 概述2. 安全机构3. 数据/信息技术设备的分类和控制4. 人员安全5. 物理访问控制6. 逻辑访问控制7. 计算机管理8. 系统开发和控制9. 紧急事故和灾害复原29 2001 安达信公司 。 所有内容版权属於公司所有 。30 2001 安达信公司 。 所有内容版权属於公司所有 。系统分析- 根据用户需要设计系统应用编程- 负责开发新系统及生产过程中系统的维护数据输入- 通常由用户部门的人员或

10、客户在线进行计算机操作员- 进行备份、系统监测和批处理工作数据库管理员- 确定并维护数据库的数据结构31 2001 安达信公司 。 所有内容版权属於公司所有 。安全管理员- 制定并监测安全控制磁带管理员- 负责记录、收发并保护计算机磁带上保有的所有程序和数据文件系统编程- 负责维护系统软件，包括操作系统的软件质量保证- 进行测试和检查，保证程序、程序的变更和文档记录符合标准32 2001 安达信公司 。 所有内容版权属於公司所有 。否 功能负责人系统操作和批处理的工作应用系统的开发和维护应用系统处理和审批会计帐项管理网络运作访问授权系统保安操作系统的安全。维护及优化访问生产平台软件开发，维护人

11、员否否否否否否操作系统支援人员否否否否计算机操作员否否否否否网络管理员否否否否否系统保安管理员否否否否否维护应用系统及数据之访问手册否否否否否使用者否否否否否33 2001 安达信公司 。 所有内容版权属於公司所有 。34 2001 安达信公司 。 所有内容版权属於公司所有 。对信息系统开发和维护的控制对信息系统开发和维护的控制系统规范和设计控制编程控制变更控制程序/系统测试程序目录编制人员管理35 2001 安达信公司 。 所有内容版权属於公司所有 。36 2001 安达信公司 。 所有内容版权属於公司所有 。机器出现问题时是否采取了解决措施。事故报告程序应保证: 对事故的恰当记录和监测,

12、采取充分的措施识别原因, 采取准确的行动解决问题37 2001 安达信公司 。 所有内容版权属於公司所有 。1. 系统中确实发生不正常现象2. 在“系统问题日志”中记录该问题3. 参考以前的案例4. 识别问题的原因5. 采取纠正行动解决问题6. 定期将“系统问题日志：上交管理层审阅7. 在每月的部门会议中讨论有关问题及采取的纠正措施38 2001 安达信公司 。 所有内容版权属於公司所有 。事故报告应包括: 事件 时间段 设备 问题原因 影响 后续措施 结果和建议39 2001 安达信公司 。 所有内容版权属於公司所有 。40 2001 安达信公司 。 所有内容版权属於公司所有 。 停机一小时

13、的成本 (信息周刊, 1998年12月7日) 证券经纪业务$ 650万/小时 信用卡业务$ 260万 机票预售$ 89,500 纽约证券交易所崩溃 交易停止59 分钟 (1998年10月26日)，造成市值损失 8亿美元。 原因: 路由器线路卡 失灵41 2001 安达信公司 。 所有内容版权属於公司所有 。审阅证券经纪行的“可用性计划”（如有）识别对可用性而言非常重要的主要资源评估可用性设计和技术的充足性 (e.g. 冗余, 容错设备)保证制定有充分的备份、恢复和应急计划42 2001 安达信公司 。 所有内容版权属於公司所有 。防止经营业务免受重大故障或灾害的影响识别并降低潜在风险保证迅速恢

14、复经营活动和运作43 2001 安达信公司 。 所有内容版权属於公司所有 。服务器硬件 (电源, 硬盘)路由器网络带宽应用软件容量数据库系统RouterDMZInternetInternalWeb SeverFirewall-1Firewall-2DatabaseServerBSSMessaing Serve/Application Server44 2001 安达信公司 。 所有内容版权属於公司所有 。电源保护磁盘阵列冗余技术负载均衡45 2001 安达信公司 。 所有内容版权属於公司所有 。本地供电故障本地供电故障 服务器、路由器或其它网络元件的内部电源电压变化电压变化 尖峰、电涌、电压下

15、降和长时低压 (电源保护)短期断电短期断电 为时一瞬间或长达数分钟的外部电源故障 (UPS)长期断电长期断电 为时数分钟、几个小时或甚至几天的外部电源故障 (发电机)46 2001 安达信公司 。 所有内容版权属於公司所有 。为生产服务器准备实时后备服务器所有硬件设备冗余，消除单点失败为网上证券交易系统建立灾难后备地点，并放在不同于原地址的地方RAID 磁盘及镜像安装负载均衡设备对网络设备执行24小时可用性监测流程原址和灾害后备地址中均安装电源保护系统、UPS和消防系统47 2001 安达信公司 。 所有内容版权属於公司所有 。T1T1HSRPInternetHACMPWeb ServersA

16、pplicatin ServerIBM S/370SNAFirewalls48 2001 安达信公司 。 所有内容版权属於公司所有 。检查企业是否恰当地进行了备份增量备份，保存上次增量备份后更新的所有文件全部备份，保存所有数据49 2001 安达信公司 。 所有内容版权属於公司所有 。备份程序每条数据备份日志应记录以下项目: 数据备份日期 数据备份范围 (文件/目录) 储存操作数据的数据媒质 储存备份数据的数据媒质 数据备份硬件和软件 (连同版本号) 数据备份参数 (数据备份类型等) 自动备份软件 CA ARCserve IBM ADSM50 2001 安达信公司 。 所有内容版权属於公司所有

17、 。网络管理员设置备份软件，以及时进行备份每天早晨，由网络管理员审阅备份日志，检查备份是否正确进行备份磁带储存在选择好的场外地点网络管理员保存一份所有备份的详细日志，包括: 备份的日期、时间 规范 (增量/全部) 完成状况 进行备份的人员姓名等网络管理员应经常进行部分还原51 2001 安达信公司 。 所有内容版权属於公司所有 。磁带使用两年后应当作废磁带机使用40小时后应当清洁磁带保留 每日磁带应由网络管理员存放在计算机房内 每周、每月和每年的磁带应当储存在场外 周末磁带存放一个月 月末磁带存放一年 年末磁带存放七年磁带存放在防火保险柜中52 2001 安达信公司 。 所有内容版权属於公司所

18、有 。存储空间管理 网络管理员密切监测服务器硬盘上的存储空间 服务器硬盘上存储空间的数量不应超过磁盘总容量的75 网络管理员负责向信息技术经理汇报存储空间状态文件的删除 用户负责删除过时的文件 每年，网管员将清除上一年网络上过时的所有文件53 2001 安达信公司 。 所有内容版权属於公司所有 。灾害是对企业大部分有影响的大规模事件 大地震、洪水、飓风、龙卷风等 持续超过48小时的停电 楼房结构毁损计划的主要目标是列明任务，保证重要资源的运行，并将灾害的影响降至最低保证灾害应对措施所需的重要信息保存在场外，并在灾害发生后能够轻易地取得。54 2001 安达信公司 。 所有内容版权属於公司所有

19、。计划内应包括根据损害的不同程度，应采取的几种操作方式确定是需要“热”站点还是“冷”站点 每年应进行几次灾害预防演习55 2001 安达信公司 。 所有内容版权属於公司所有 。经营计划经营计划 - - 确定主要的业务功能确定资源确定资源 - - 应急计划应指明执行一项功能所需要的所有资源设想未来状况设想未来状况 - - 企业应当预计潜在的紧急情况或灾害 创建战略创建战略 - - 应根据可行性和成本等实际情况选择应急规划战略测试并修改计划测试并修改计划56 2001 安达信公司 。 所有内容版权属於公司所有 。57 2001 安达信公司 。 所有内容版权属於公司所有 。检查是否执行了现行的安全政

20、策评估对企业系统内处理、存储和保持的敏感信息的保护控制 (例如网上交易系统中的数据库和网络内容)评估控制用户访问的方法检查病毒控制程序评估监测并报告违规行为的方法评估用以实现交易保密性/验证/一致性的方法58 2001 安达信公司 。 所有内容版权属於公司所有 。59 2001 安达信公司 。 所有内容版权属於公司所有 。访问授权资格访问授权资格: : 谁可以进行网络工作谁可以进行网络工作? ? - - 企业层次企业层次 - - 个人层次个人层次根据以下原则给予访问权限根据以下原则给予访问权限 “工作需要工作需要” “有必要知道有必要知道” “最小权限最小权限” 60 2001 安达信公司 。

21、 所有内容版权属於公司所有 。强制性培训和教育强制性培训和教育 ( (根据用户水平进行根据用户水平进行):):如何正确使用网络如何正确使用网络? ?信息分类信息分类? ?生产率问题生产率问题? ?61 2001 安达信公司 。 所有内容版权属於公司所有 。1. 熟悉信息处理环境2. 记录访问路径 最终用户使用终端登录 应保证终端的物理安全 登录身份/密码应当有所限制 通讯软件 保证软件中已定义恰当的应用程序 (例如 TCP/IP, SNA) 交易处理软件 软件将交易传送给恰当的应用软件 主要的审核事项包括恰当地识别/验证用户的身份 并授权用户可以访问该软件62 2001 安达信公司 。 所有内

22、容版权属於公司所有 。2. 记录访问路径 (续前) 应用软件 根据程序逻辑处理事务 数据库管理系统 保证所有的数据元素均可在数据目录中找到 限定只有数据库管理员才能访问数据目录 所有的数据元素均要受逻辑访问控制 访问控制软件 使所有上述部件均处于逻辑访问安全的范围之内 保证访问规则是以“有必要知道”为依据的63 2001 安达信公司 。 所有内容版权属於公司所有 。3. 审阅网络拓扑图 网络图说明计算机、终端和网络设备、调制解调器和拨号线等外设之间的电信链接 审计员应当检查连接，确定是否实行了恰当的物理和逻辑访问控制 审核流程可能要包括对局域网访问控制的评估 并且评估操作系统和应用系统的访问控

23、制4. 约见系统和网络人员5. 检查访问控制软件生成的报告6. 审阅应用系统操作手册7. 审阅书面政策、程序和标准8. 逻辑访问安全政策9. 正式的安全意识培训64 2001 安达信公司 。 所有内容版权属於公司所有 。为系统/网络建立密码政策，并建立文档记录所有密码最少由6个字母组成密码不能重复使用输入时密码不会显示密码生成时只有所有人和管理员知道密码有使用期限输入密码时只能试3次密码内容不包括字典用字、用户姓名或明显的词组用户建立账户后立即更改密码用户不会将密码写在标签上或显眼的地方用户每隔60至90天更改一次密码65 2001 安达信公司 。 所有内容版权属於公司所有 。安全测试 使用终

24、端卡和钥匙 终端标识 登录 ID 和密码 生产资源控制 日志和计算机访问违规报告 拨号访问控制 网络变更的授权 识别旁路安全法和补救措施66 2001 安达信公司 。 所有内容版权属於公司所有 。用户账户管理用户账户管理 用户用户 ID 创建创建/取消程序取消程序审计和管理层检查审计和管理层检查检测未授权检测未授权/非法活动非法活动67 2001 安达信公司 。 所有内容版权属於公司所有 。用户用户ID的维护的维护 - 企业必须保证所有的用户ID属于目前获得授权的用户。必须不断增加新用户并删除已不存在的用户，以保持身份识别数据的有效性。不使用的用户不使用的用户ID 在一段特定的时间内（如3个月

25、）内不使用的用户ID应当作废。68 2001 安达信公司 。 所有内容版权属於公司所有 。69 2001 安达信公司 。 所有内容版权属於公司所有 。对网络设备的物理访问应当严加控制 前端和网络服务器前端和网络服务器 配线盒和配电板配线盒和配电板 加密设备加密设备 电缆电缆 对网络分析工具的访问也要小心控制应当提防利用通信媒体的敏感性进行线路窃听70 2001 安达信公司 。 所有内容版权属於公司所有 。小心网络连接：对网络服务器和应用程序的访问进行限制小心网络连接：对网络服务器和应用程序的访问进行限制考虑将敏感系统隔离考虑将敏感系统隔离 ( (部分地或全部地部分地或全部地) )71 2001

26、 安达信公司 。 所有内容版权属於公司所有 。未经授权进入损毁、破坏或盗窃设备或文件复制或查看敏感或版权信息篡改敏感设备和信息公开敏感信息滥用数据处理资源敲诈勒索72 2001 安达信公司 。 所有内容版权属於公司所有 。可通过实地观察的方式测试物理防护措施： 门锁 (栓锁、密码锁、电子锁、生物技术锁） 人工登记 摄像机 警卫 不公布敏感设施的位置 计算机终端锁 报警系统73 2001 安达信公司 。 所有内容版权属於公司所有 。测试应不仅仅限于信息处理设备 所有放置操作控制台的地点 打印室 计算机存放室 UPS/发电机 网络图上标明的所有通信设备 磁带储存室 场外备份储存设施74 2001

27、安达信公司 。 所有内容版权属於公司所有 。75 2001 安达信公司 。 所有内容版权属於公司所有 。病毒预防病毒预防: :- - 病毒常常是偶然进入系统的，并且由于现在的网络相互连接程度高，病毒常常是偶然进入系统的，并且由于现在的网络相互连接程度高，往往迅速蔓延往往迅速蔓延- 随着系统的日益开放，互联网和普通应用程序更容易遭受病毒的入侵随着系统的日益开放，互联网和普通应用程序更容易遭受病毒的入侵。76 2001 安达信公司 。 所有内容版权属於公司所有 。消除下载的风险了解病毒搜索的问题 对网络的信息进行控制使用并更新反病毒工具77 2001 安达信公司 。 所有内容版权属於公司所有 。病

28、毒的感染往往是通过电子邮件的附件、磁盘和从外部下载的文件。要确保企业的员工对来自第三方的任何资料保持警惕。 雇员应避免打开于业务无关的电子邮件附件 文件未经防病毒软件扫描前，雇员不得将其发送给外部方面78 2001 安达信公司 。 所有内容版权属於公司所有 。向用户进行病毒风险和计算机安全使用教育使用访问控制软件，限制对系统的访问并保护重要的程序和数据文件考虑尽量将重要的系统分隔出来同时使用病毒探测工具，在病毒造成巨大损失之前发现病毒为下载和测试外部媒体和软件建立合理的政策为重要的程序和数据文件恰当地建立备份建立一项计划，一旦发现病毒立刻将其隔离并消灭79 2001 安达信公司 。 所有内容版

29、权属於公司所有 。80 2001 安达信公司 。 所有内容版权属於公司所有 。 制定目标（在经营计划中），系统地进行扩展 尽早并经常地在网络应用程序的开发过程中，结合考虑负载测试 设定增长的负载容量值，并不断监测81 2001 安达信公司 。 所有内容版权属於公司所有 。- - 服务器性能服务器性能: : 磁盘容量磁盘容量, , CPU/CPU/内存使用内存使用- - 网络使用网络使用: : * * 速度放慢速度放慢 = = 停机停机* * 互联网使用监测互联网使用监测- - 客户反应时间客户反应时间82 2001 安达信公司 。 所有内容版权属於公司所有 。了解环境确定最受影响的元件选择将使用的升级技术重新评估83 2001 安达信公司 。 所有内容版权属於公司所有 。问题？问题？ 84