IT审计的组织与实施（培训课件）.ppt

1IT审计的组织与实施刘济平中国光大（集团）总公司审计部副主任注册信息系统审计师（CISA）、注册内部审计师（CIA）、高级审计师经济学硕士（南开大学西方会计与审计专业）、理学硕士（英国Strathclyde大学商务信息技术系统专业）E-mail:liujp@bj.ebchina.com2内容安排内部审计及其分类信息系统审计—从风险管理和风险基础审计的角度理解信息系统审计标准信息系统审计方法IT核心流程和审计方法问题讨论案例分析3内部审计及其分类内部审计内部审计分类业务审计（OperationsAudit）信息系统审计(InformationSystemsAudit)或IT审计4内部审计及其分类业务审计与IT审计的关系自动应用控制应用控制帐号管理/逻辑控制一般应用控制电子数据表和局部数据库程序员安全在业务用户层面上的变更管理业务持续计划（BCP）基础架构一般应用控制变更和配置管理网络安全管理计算机操作系统开发生命周期（SDLC）共享数据库机房业务审计IT审计5信息系统审计—从风险管理和风险基础审计的角度理解一个目标两种风险三项评价四类测试6信息系统审计—从风险管理和风险基础审计的角度理解一个目标将IT相关的风险控制在可接受的水平风险是事件的不确定性，这个事件对目标的实现具有影响。风险是不希望发生事情的可能性。对待风险的四种策略：拒绝、接受、转移、缓释（控制）风险机会7信息系统审计—从风险管理和风险基础审计的角度理解两种风险战略风险失去竞争优势信息系统项目失败灾难导致长期不能提供服务……操作风险变更管理文档不完整密码政策不恰当未激活Oracle审计轨迹设置……8信息系统审计—从风险管理和风险基础审计的角度理解三项评价评价信息系统项目评价业务流程中的IT控制评价信息安全9信息系统审计—从风险管理和风险基础审计的角度理解四类测试IT控制环境测试物理控制测试逻辑控制测试IS操作控制测试10信息系统审计—从风险管理和风险基础审计的角度理解将IT相关风险控制在可接受水平战略风险操作风险评价IT项目评价业务流程中的IT控制评价信息安全测试IT控制环境测试物理控制测试逻辑控制测试IS操作控制一个目标两种风险三项评价四类测试11信息系统审计标准ITIL(ITInfrastructureLibrary)BS7799COBIT(ControlObjectivesforInformationandRelatedTechnology)12信息系统审计标准—ITILIT服务管理IT服务管理（ITSM）：一种以流程为导向，以客户为中心的方法，它通过整合IT服务与组织业务，提高组织IT服务提供和服务支持的能力和水平。ITIL（ITInfrastructureLibrary,IT基础架构库），最初由英国商务部（OGC）80年代组织开发，是ITSM领域在欧洲的事实标准。2001年成为英国标准BS1500013信息系统审计标准—ITILITIL整体框架•服务提供包括5个核心流程：服务级别管理、能力管理、可用性管理、持续性管理、财务管理。服务支持包括5个核心流程：配置管理、发布管理、变更管理、事故管理、问题管理、服务台职能。技术业务应用管理IT服务管理实施规划业务视角服务管理ICT基础架构管理安全管理服务支持服务提供资料来源：OGC,200214信息系统审计标准—BS7799信息安全管理：指一个组织的政策、实务、程序、组织结构和软件功能，用以保护信息，确保信息免受非授权访问、修改或意外变更，并且在经授权用户需要时可用。保密性(Confidentiality)资料来源：Pfleeger,1997完整性(Integrity)可用性(Availability)15信息系统审计标准—BS7799信息安全管理体系（ISMS）BS7799：最早由英国贸易和工业部于1993年组织开发，1995年成为英国国家标准，由两部分组成，目前最新版本为：BS7799-1：1999《信息安全管理实施规则》BS7799-2：2002《信息安全管理体系规范》BS7799-1于2000年被批准为国际标准ISO/IEC17799：2000《信息技术：信息安全管理实施规则》。16信息系统审计标准—BS7799信息安全管理体系（ISMS）BS7799-1将信息安全管理分为10类控制，成为组织实施信息安全管理的实用指南。通讯和运行管理访问控制系统开发和维护业务持续管理合规信息...