安全審計(jì)服務(wù)規(guī)范精選(五篇)

序言：作為思想的載體和知識(shí)的探索者，寫作是一種獨(dú)特的藝術(shù)，我們?yōu)槟鷾?zhǔn)備了不同風(fēng)格的5篇安全審計(jì)服務(wù)規(guī)范，期待它們能激發(fā)您的靈感。

篇1

電子業(yè)務(wù)系統(tǒng)安全審計(jì)體系的研究與建設(shè)

結(jié)合山東局綜合管理體系建設(shè)要求，首先，對(duì)各業(yè)務(wù)系統(tǒng)從管理者和使用者兩個(gè)層面明確職責(zé)，規(guī)定相應(yīng)的口令管理制度、授權(quán)管理制度、系統(tǒng)操作規(guī)程（作業(yè)指導(dǎo)書）等業(yè)務(wù)系統(tǒng)運(yùn)行規(guī)章制度及有關(guān)記錄表格。二是，針對(duì)各業(yè)務(wù)系統(tǒng)制定安全審計(jì)規(guī)范，利用內(nèi)部審計(jì)及外部審計(jì)來評(píng)估業(yè)務(wù)系統(tǒng)安全漏洞，規(guī)劃審計(jì)策略，明確審計(jì)目標(biāo)，確定日常安全審計(jì)及集中安全審計(jì)任務(wù)和手段，并對(duì)審計(jì)結(jié)果進(jìn)行評(píng)估分析，制定糾正措施。三是，結(jié)合山東局績效考核管理辦法，將安全審計(jì)結(jié)果納入績效考核，已達(dá)到從制度上約束行為的目的。各電子業(yè)務(wù)系統(tǒng)的開發(fā)應(yīng)按照我們制定的安全審計(jì)規(guī)范要求建立安全審計(jì)模塊，每個(gè)用戶登錄系統(tǒng)、進(jìn)入應(yīng)用，一直到使用各個(gè)應(yīng)用模塊都可以進(jìn)行訪問日志記錄，安全審計(jì)模塊可以調(diào)用日志SDK的API，根據(jù)應(yīng)用規(guī)則來記錄各種日志。日志可以是分為安全日志、系統(tǒng)日志、數(shù)據(jù)變更日志等等可以由系統(tǒng)安全管理人員隨時(shí)調(diào)閱，以達(dá)到安全審計(jì)的目的。針對(duì)業(yè)務(wù)系統(tǒng)具體環(huán)節(jié)分析風(fēng)險(xiǎn)點(diǎn)，根據(jù)制定的安全控制規(guī)范，應(yīng)用于各電子業(yè)務(wù)系統(tǒng)，開發(fā)安全審計(jì)系統(tǒng)，進(jìn)行風(fēng)險(xiǎn)布控、監(jiān)控設(shè)定、自動(dòng)預(yù)警與自動(dòng)核查，對(duì)業(yè)務(wù)系統(tǒng)全過程監(jiān)控。由于目前業(yè)務(wù)系統(tǒng)數(shù)量眾多，數(shù)據(jù)處理不同，進(jìn)行安全審計(jì)系統(tǒng)開發(fā)時(shí)需針對(duì)各業(yè)務(wù)系統(tǒng)進(jìn)行分析歸納，特別是CIQ2000綜合業(yè)務(wù)管理系統(tǒng)作為檢驗(yàn)檢疫電子業(yè)務(wù)的主干系統(tǒng)，數(shù)據(jù)處理過程的質(zhì)量決定著業(yè)務(wù)工作的質(zhì)量，我們首先從CIQ2000業(yè)務(wù)管理系統(tǒng)入手試點(diǎn)，對(duì)CIQ2000綜合業(yè)務(wù)管理系統(tǒng)實(shí)施全過程監(jiān)控，監(jiān)控賬戶的合法性、權(quán)限的合理性、登錄及操作行為的可追溯性、數(shù)據(jù)修改的安全性等，對(duì)用戶行為實(shí)施有效監(jiān)督、約束，規(guī)范行為，保證工作質(zhì)量。對(duì)CIQ2000綜合業(yè)務(wù)系統(tǒng)進(jìn)行安全審計(jì)主要分以下幾方面:1）用戶操作行為日志審查常規(guī)監(jiān)測(cè)及時(shí)收集和分析CIQ2000系統(tǒng)本身提供的系統(tǒng)登錄、業(yè)務(wù)操作、流程控制、權(quán)限等信息，通過設(shè)定邏輯嚴(yán)密、科學(xué)合理的審計(jì)規(guī)則，根據(jù)用戶登錄時(shí)間、狀態(tài)和業(yè)務(wù)操作記錄等數(shù)據(jù)，發(fā)現(xiàn)異常登錄和非法操作，在系統(tǒng)界面進(jìn)行展示，并形成報(bào)表。特殊監(jiān)測(cè)根據(jù)業(yè)務(wù)和系統(tǒng)管理需要，對(duì)特殊時(shí)間段、特殊業(yè)務(wù)操作進(jìn)行特殊監(jiān)測(cè)，通過觸發(fā)器收集關(guān)鍵業(yè)務(wù)對(duì)象、關(guān)鍵數(shù)據(jù)的變更情況，記錄操作人的登錄信息和操作信息。如對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)的操作及修改過程（如計(jì)收費(fèi)數(shù)據(jù)的修改、不合格結(jié)果登記修改為合格結(jié)果登記、未經(jīng)檢務(wù)操作擅自添加證書、攔截?cái)?shù)據(jù)人工干預(yù)放行等）進(jìn)行過程記錄。2）用戶密碼審查根據(jù)制訂的密碼審計(jì)規(guī)則，自動(dòng)檢查指定機(jī)構(gòu)下的用戶及密碼，查找密碼為空或者密碼設(shè)置不符合安全規(guī)范的用戶，在系統(tǒng)界面展示并可形成報(bào)表。3）重復(fù)用戶檢查根據(jù)同一用戶在統(tǒng)一機(jī)構(gòu)下不得同時(shí)擁有兩個(gè)可以同時(shí)使用的用戶賬號(hào)原則，自動(dòng)檢查指定機(jī)構(gòu)下的用戶，檢查是否在同一機(jī)構(gòu)具有同時(shí)在崗的重名用戶。4）用戶權(quán)限檢查自動(dòng)檢查指定機(jī)構(gòu)下的用戶及使用權(quán)限，查找具有分配全業(yè)務(wù)流程的用戶，也可查找具有指定權(quán)限的用戶。5）安全事件警告根據(jù)對(duì)業(yè)務(wù)系統(tǒng)各關(guān)鍵環(huán)節(jié)和關(guān)鍵對(duì)象數(shù)據(jù)的采集和分析，對(duì)可能存在信息安全隱患的環(huán)節(jié)給予相應(yīng)級(jí)別的告警。告警方式包括：界面查看、短信預(yù)警、郵件預(yù)警。6）系統(tǒng)服務(wù)用戶管理選項(xiàng)設(shè)置安全審計(jì)告警策略安全事件確認(rèn)審計(jì)對(duì)象配置助手對(duì)于以上審計(jì)內(nèi)容，通過布控，可以實(shí)現(xiàn)實(shí)時(shí)監(jiān)控，發(fā)現(xiàn)違規(guī)操作及時(shí)報(bào)警，也可以進(jìn)行統(tǒng)計(jì)查詢、數(shù)據(jù)分析，防患于未然。通過安全審計(jì)系統(tǒng)的運(yùn)行，特別是對(duì)CIQ2000綜合業(yè)務(wù)管理系統(tǒng)的安全審計(jì)，發(fā)現(xiàn)高風(fēng)險(xiǎn)監(jiān)控點(diǎn)，進(jìn)一步對(duì)體系進(jìn)行驗(yàn)證完善，通過兩方面的互補(bǔ)，保證業(yè)務(wù)系統(tǒng)的安全合規(guī)運(yùn)行。通過以上步驟，制定我局電子業(yè)務(wù)系統(tǒng)安全審計(jì)規(guī)范并正式下發(fā)執(zhí)行，建立檢驗(yàn)檢疫電子業(yè)務(wù)系統(tǒng)安全審計(jì)體系。并通過CIQ2000綜合業(yè)務(wù)安全審計(jì)系統(tǒng)應(yīng)用實(shí)例進(jìn)行驗(yàn)證優(yōu)化，并以此成功案例進(jìn)行推廣、全面開展對(duì)山東局電子業(yè)務(wù)安全審計(jì)系統(tǒng)的建設(shè)與發(fā)展。

電子業(yè)務(wù)系統(tǒng)安全審計(jì)體系研究技術(shù)方面

電子業(yè)務(wù)安全審計(jì)系統(tǒng)建設(shè)技術(shù)方面1）使用統(tǒng)一開發(fā)平臺(tái)的UIP-SDP框架開發(fā)。該框架提供輕量級(jí)的框架，框架遵照MVC的通用設(shè)計(jì)模式；采用面向服務(wù)體系結(jié)構(gòu)(SOA)及組件化的設(shè)計(jì)思想，便于系統(tǒng)的復(fù)用和集成；包含大量公共的、實(shí)用性的組件和控件，并且提供了一般業(yè)務(wù)系統(tǒng)底層的最基本模塊，可以輕松集成到業(yè)務(wù)系統(tǒng)之中。2）框架提供了通用的前后臺(tái)校驗(yàn)機(jī)制、統(tǒng)一的分頁處理、基于AJAX的局部刷新功能、多文件上載的功能、基于數(shù)字證書的認(rèn)證方式、靈活、實(shí)用的規(guī)則引擎、基于配置的任務(wù)調(diào)度功能、基于配置的事務(wù)處理、統(tǒng)一的日志管理、方便快捷的單元測(cè)試、子模塊基于XML的單獨(dú)配置3）系統(tǒng)由數(shù)據(jù)采集層、事件管理層、運(yùn)行管理層構(gòu)成。山東檢驗(yàn)檢疫電子業(yè)務(wù)系統(tǒng)安全審計(jì)體系（圖略）。電子業(yè)務(wù)安全審計(jì)系統(tǒng)建設(shè)技術(shù)規(guī)范方面采用標(biāo)準(zhǔn)的Linux、Unix操作系統(tǒng)建立基礎(chǔ)平臺(tái)采用統(tǒng)一的Oracle數(shù)據(jù)庫建立數(shù)據(jù)中心平臺(tái)采用先進(jìn)的軟件工程設(shè)計(jì)方法，滿足系統(tǒng)的先進(jìn)性、可靠性、可伸縮性、可擴(kuò)展性復(fù)雜的商業(yè)規(guī)則的實(shí)現(xiàn)集中由應(yīng)用服務(wù)器實(shí)現(xiàn)，可隨業(yè)務(wù)量增長而輕松擴(kuò)展采用流行的B/S架構(gòu)，實(shí)現(xiàn)零客戶端采用先進(jìn)AJAX、WebService技術(shù)采用XML技術(shù)，規(guī)范信息交換格式和數(shù)據(jù)交換流程采用統(tǒng)一的消息中間件實(shí)現(xiàn)數(shù)據(jù)交換可以采用CA認(rèn)證及SSL128位加密技術(shù)，確保通訊的安全性4結(jié)論通過建設(shè)安全審計(jì)體系建設(shè)，可以從制度上規(guī)范行為；審計(jì)系統(tǒng)的開發(fā)運(yùn)行可以利用技術(shù)手段實(shí)現(xiàn)業(yè)務(wù)監(jiān)控、工作質(zhì)量稽查及用戶行為審計(jì)，自動(dòng)查找違規(guī)現(xiàn)象，及時(shí)通知相關(guān)單位整改，以查促管，防患于未然；審計(jì)的結(jié)果反過來促進(jìn)制度的建設(shè)，最終保證檢驗(yàn)檢疫業(yè)務(wù)的正常運(yùn)轉(zhuǎn)。

作者：田建榮 宋琳琳 陳鵬 王宏志 郭曙超 單位：山東出入境檢驗(yàn)檢疫局

篇2

據(jù)電子政務(wù)的有關(guān)安全調(diào)查統(tǒng)計(jì):11%的安全問題導(dǎo)致網(wǎng)絡(luò)數(shù)據(jù)破壞，14%的安全問題導(dǎo)致數(shù)據(jù)失密。從惡意攻擊的特點(diǎn)來看，美國FBI統(tǒng)計(jì)的結(jié)果是65%的攻擊來自網(wǎng)絡(luò)系統(tǒng)內(nèi)部。

安全設(shè)計(jì)本身的不完備性也往往構(gòu)成網(wǎng)絡(luò)新的安全風(fēng)險(xiǎn)。新的風(fēng)險(xiǎn)點(diǎn)、新的漏洞被發(fā)現(xiàn)、新的攻擊技術(shù)手段被利用等管理安全問題會(huì)隨時(shí)出現(xiàn)。所以，安全管理要求考慮網(wǎng)絡(luò)系統(tǒng)的安全配置、正常運(yùn)行、安全操作、應(yīng)急響應(yīng)等一系列問題，而解決這些問題的一個(gè)關(guān)鍵技術(shù)就是對(duì)電子政務(wù)系統(tǒng)的安全審計(jì)。

電子政務(wù)的安全管理可以通過安全評(píng)估、安全政策、安全標(biāo)準(zhǔn)、安全審計(jì)等四個(gè)環(huán)節(jié)來加以規(guī)范并進(jìn)而實(shí)現(xiàn)有效的管理。目前，安全審計(jì)已經(jīng)成為電子政務(wù)系統(tǒng)中的重要環(huán)節(jié)。早在2002年，安全審計(jì)已被正式定為電子政務(wù)建設(shè)十大標(biāo)準(zhǔn)之一。

雖然很多的國際規(guī)范以及國內(nèi)對(duì)重要網(wǎng)絡(luò)的安全規(guī)定中都將安全審計(jì)放在重要的位置，然而大部分的用戶和專家對(duì)安全審計(jì)這個(gè)概念的理解不統(tǒng)一，都認(rèn)為是“日志記錄”的功能。如果僅僅是日志功能就滿足安全審計(jì)的需求，那么目前絕大部分的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、網(wǎng)管系統(tǒng)都有不同程度的日志功能，大多數(shù)的網(wǎng)絡(luò)系統(tǒng)都滿足了安全審計(jì)的需求。但是實(shí)際上這些日志根本不能保障系統(tǒng)的安全，而且也無法滿足事后的偵察和取證應(yīng)用。安全審計(jì)并非日志功能的簡單改進(jìn)也并非等同入侵檢測(cè)。

那么，電子政務(wù)的安全審計(jì)如何實(shí)施呢，現(xiàn)在的安全工程可要求從四個(gè)方面來把握。

首先，要把握和控制好數(shù)據(jù)的來源，比如來自網(wǎng)絡(luò)數(shù)據(jù)截獲;來自系統(tǒng)、網(wǎng)絡(luò)、防火墻、中間件等系統(tǒng)的日志;嵌入模塊，主動(dòng)收集系統(tǒng)內(nèi)部事件;通過網(wǎng)絡(luò)主動(dòng)訪問，獲取信息;來自應(yīng)用系統(tǒng)、安全系統(tǒng)等。有數(shù)據(jù)源的要積極獲取，無數(shù)據(jù)源的要設(shè)法生成數(shù)據(jù)。對(duì)收集數(shù)據(jù)的性質(zhì)也要分已經(jīng)經(jīng)過分析和判斷的數(shù)據(jù)和未分析的原始數(shù)據(jù)不同處理。另外，內(nèi)部數(shù)據(jù)要通過轉(zhuǎn)換形成統(tǒng)一的表示規(guī)范。

其次，分析機(jī)制需要具備評(píng)判異常、違規(guī)的依據(jù)，與安全策略相關(guān)。分為實(shí)時(shí)分析和事后分析。實(shí)時(shí)分析:提供或獲取數(shù)據(jù)的設(shè)備/軟件具備預(yù)分析能力，并能夠進(jìn)行第一道篩選。事后分析:維護(hù)審計(jì)數(shù)據(jù)的機(jī)構(gòu)對(duì)審計(jì)記錄的事后分析，包括統(tǒng)計(jì)分析和數(shù)據(jù)挖掘。

篇3

 

根據(jù)相關(guān)統(tǒng)計(jì)機(jī)構(gòu)提供的數(shù)據(jù)，目前有60%以上的網(wǎng)絡(luò)人侵和破壞是來自網(wǎng)絡(luò)內(nèi)部的，因?yàn)榫W(wǎng)絡(luò)內(nèi)部的人員對(duì)于自己的網(wǎng)絡(luò)更加熟悉，而且有一定的授權(quán)，掌握一定的密碼，又位于防火墻的后端，進(jìn)行入侵或破壞更加得心應(yīng)手。一個(gè)內(nèi)部人員不必掌握很多黑客技術(shù)就能夠?qū)ο到y(tǒng)造成重大的損失。因此信息安全審計(jì)的功能越發(fā)受到重視。

 

對(duì)于一個(gè)信息系統(tǒng)而言，信息安全審計(jì)究竟要實(shí)現(xiàn)怎樣的功能,要實(shí)現(xiàn)到怎樣的程度，目前大多數(shù)的單位并未真正理解,不少單位對(duì)于信息安全審計(jì)的認(rèn)識(shí)還停留在日志記錄的層次。一些信息安全測(cè)評(píng)認(rèn)證標(biāo)準(zhǔn)可以為我們提供一定的借鑒。

 

1998年，國際標(biāo)準(zhǔn)化組織(ISO)和國際電工委員會(huì)(IEC)發(fā)表了《信息技術(shù)安全性評(píng)估通用準(zhǔn)則2.0版》(IS0/IEC15408),簡稱CC準(zhǔn)則或CC標(biāo)準(zhǔn)。CC準(zhǔn)則是信息技術(shù)安全性通用評(píng)估準(zhǔn)則,用來評(píng)估信息系統(tǒng)或者信息產(chǎn)品的安全性。在CC準(zhǔn)則中，對(duì)網(wǎng)絡(luò)安全審計(jì)定義了一套完整的功能，如:安全審計(jì)自動(dòng)響應(yīng)、安全審計(jì)事件生成、安全審計(jì)分析、安全審計(jì)瀏覽、安全審計(jì)事件存儲(chǔ)、安全審計(jì)事件選擇等。

 

TCSEC(TrustedComputerSystemEvaluationCriteria)準(zhǔn)則俗稱橙皮書，是美國國防部的一個(gè)準(zhǔn)則,用于評(píng)估自動(dòng)信息數(shù)據(jù)處理系統(tǒng)產(chǎn)品的安全措施的有效性。它定義了一些基本的安全需求，如:policy、accountability、assurance等。accountability提出了“安全審計(jì)”的基本要求，包括：審計(jì)信息必須被有選擇地保留和保護(hù)，與安全有關(guān)的活動(dòng)能夠被追溯到負(fù)責(zé)方，系統(tǒng)應(yīng)能夠選擇記錄與安全有關(guān)的信息，以便將審計(jì)的開銷降到最小，并可以進(jìn)行有效的分析。

 

計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則中，定義了五個(gè)級(jí)別:第一級(jí):用戶自主保護(hù)級(jí);第二級(jí):系統(tǒng)審計(jì)保護(hù)級(jí);第三級(jí)：安全標(biāo)記保護(hù)級(jí);第四級(jí):結(jié)構(gòu)化保護(hù)級(jí);第五級(jí):訪問驗(yàn)證保護(hù)級(jí)。從第二個(gè)級(jí)別開始就需要基本的審計(jì)功能，越高的級(jí)別對(duì)于審計(jì)的要求也越高。第二級(jí)別的審計(jì)要求就包括:計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基能創(chuàng)建和維護(hù)受保護(hù)客體的訪問審計(jì)跟蹤記錄，并能阻止非授權(quán)的用戶對(duì)它訪問或破壞。

 

具體來說，計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基應(yīng)能記錄下述事件：使用身份鑒別機(jī)制;將客體引人用戶地址空間(例如:打開文件、程序初始化);刪除客體;由操作員、系統(tǒng)管理員或系統(tǒng)安全管理員實(shí)施的動(dòng)作，以及其他與系統(tǒng)安全有關(guān)的事件。對(duì)于每一事件，其審計(jì)記錄包括:事件的日期和時(shí)間、用戶、事件類型、事件是否成功。對(duì)于身份鑒別事件，審計(jì)記錄包含請(qǐng)求的來源(例如：終端標(biāo)識(shí)符);對(duì)于客體引人用戶地址空間的事件及客體刪除事件,審計(jì)記錄包含客體名。對(duì)不能由計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基獨(dú)立分辨的審計(jì)事件,審計(jì)機(jī)制提供審計(jì)記錄接口，可由授權(quán)主體調(diào)用。

 

從上面可以看出，很多的國際規(guī)范以及國內(nèi)的安全規(guī)定中都將安全審計(jì)放在重要的位置，而安全審計(jì)并不像許多用戶所理解的只是“日志記錄”的功能。目前絕大部分的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、網(wǎng)管系統(tǒng)都有不同程度的日志記錄功能，但是實(shí)際上這些日志并不能保障系統(tǒng)的安全，也無法滿足事件的偵察和取證應(yīng)用。各類測(cè)評(píng)認(rèn)證標(biāo)準(zhǔn)為我們實(shí)現(xiàn)完整的信息安全審計(jì)提供了指導(dǎo)，但是如何建設(shè)審計(jì)系統(tǒng)則需要在這些原則的指導(dǎo)下，具體問題具體分析,根據(jù)系統(tǒng)狀況、自身安全需求以及當(dāng)前技術(shù)的支持程度來定制審計(jì)系統(tǒng)。

 

2重要領(lǐng)域信息系統(tǒng)面臨的安全挑戰(zhàn)

 

隨著信息技術(shù)的迅速發(fā)展，許多單位和部門對(duì)信息系統(tǒng)的依賴性日益嚴(yán)重,尤其是一些重要領(lǐng)域(如電子政務(wù)、金融、證券等)的信息系統(tǒng)，一旦出現(xiàn)問題將帶來巨大的損失。重要領(lǐng)域的信息系統(tǒng)將面臨來自外部或內(nèi)部的各種攻擊,包括基于偵聽、截獲、竊取、破譯、業(yè)務(wù)流量分析、電磁信息提取等技術(shù)的被動(dòng)攻擊和基于修改、偽造、破壞、冒充、病毒擴(kuò)散等技術(shù)的主動(dòng)攻擊。

 

信息系統(tǒng)面臨的安全威脅來自多個(gè)方面。首先，目前大部分信息系統(tǒng)選用的系統(tǒng)本身存在著安全隱患，如網(wǎng)絡(luò)硬件設(shè)備(服務(wù)器、網(wǎng)絡(luò)設(shè)備等)和操作平臺(tái)(操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、通用軟件系統(tǒng)等)存在弱點(diǎn)和漏洞。應(yīng)用軟件系統(tǒng)的脆弱性、應(yīng)用系統(tǒng)的BUG、代碼錯(cuò)誤、不安全代碼的執(zhí)行模式、不安全設(shè)計(jì)、網(wǎng)絡(luò)的脆弱性、網(wǎng)絡(luò)協(xié)議的開放性(TCP/IP協(xié)議棧)、系統(tǒng)的相互依賴性都會(huì)導(dǎo)致網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。此外，安全設(shè)計(jì)本身的不完備性、網(wǎng)絡(luò)安全管理人員對(duì)系統(tǒng)漏洞的置若罔聞都會(huì)使攻擊行為得以成功。因此，信息系統(tǒng)的安全方案中要綜合考慮網(wǎng)絡(luò)系統(tǒng)的安全配置、正常運(yùn)行、安全操作、應(yīng)急響應(yīng)、安全審計(jì)等問題。

 

3重要領(lǐng)域信息系統(tǒng)中的信息安全審計(jì)需求

 

在重要領(lǐng)域信息系統(tǒng)的眾多安全問題中，內(nèi)部的安全違規(guī)問題尤其值得重視。內(nèi)部人員違規(guī)一般有兩種形式:一種是內(nèi)部人員的違規(guī)操作，造成的后果是影響系統(tǒng)的安全;另一種是有目的地竊取資源。

 

最近幾年網(wǎng)絡(luò)安全領(lǐng)域主要強(qiáng)調(diào)的是如何防范外部人侵，如怎么建網(wǎng)關(guān)、建防火墻、實(shí)現(xiàn)內(nèi)外網(wǎng)的物理隔離等，但是堡壘最容易從內(nèi)部攻破，信息最容易從內(nèi)部丟失。解決內(nèi)部人員違規(guī)的一個(gè)重要手段是對(duì)重要領(lǐng)域信息系統(tǒng)實(shí)行高強(qiáng)度的安全審計(jì)。所謂的強(qiáng)審計(jì)不是簡單的“日志記錄“,而是增強(qiáng)的、全方位、多層次、分布式的安全審計(jì),覆蓋網(wǎng)絡(luò)系統(tǒng)、操作系統(tǒng)、各類應(yīng)用系統(tǒng)(如\^1)、￡-11^1、]\(^￡3^(;11&1^、081^)等,對(duì)各種未授權(quán)或非法的活動(dòng)實(shí)時(shí)報(bào)警、阻斷等。

 

安全強(qiáng)審計(jì)與一般的安全審計(jì)相比在以下幾個(gè)方面得到增強(qiáng):信息收集能力;信息分析能力;適應(yīng)性;防繞過特性;信息保護(hù)特性;審計(jì)深度和針對(duì)性;規(guī)范化、標(biāo)準(zhǔn)化和開放性。

 

在重要領(lǐng)域信息系統(tǒng)中，信息安全審計(jì)的重點(diǎn)如下：

 

(1)網(wǎng)絡(luò)通信系統(tǒng)

 

重要領(lǐng)域信息系統(tǒng)的普遍特點(diǎn)是網(wǎng)絡(luò)流量一般不是很高，但是網(wǎng)上傳輸?shù)目赡苁菣C(jī)密或敏感的信息，因此除了需要具備一般企業(yè)內(nèi)部網(wǎng)所需要的人侵檢測(cè)功能之外，還需要具備以下審計(jì)功能，以發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)上的違規(guī)行為:對(duì)網(wǎng)絡(luò)流量中典型協(xié)議分析、識(shí)別、判斷和記錄;對(duì)了61賊、1111?、￡-11^1、1^?、網(wǎng)上聊天、文件共享操作的還原和記錄;對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)測(cè)以及對(duì)異常流量的識(shí)別和報(bào)警;對(duì)網(wǎng)絡(luò)設(shè)備運(yùn)行進(jìn)行持續(xù)的監(jiān)測(cè)。

 

⑵重要服務(wù)器

 

重要領(lǐng)域信息系統(tǒng)中，重要服務(wù)器是信息的集中點(diǎn),需要對(duì)其進(jìn)行增強(qiáng)的審計(jì)，以保護(hù)信息資源，對(duì)以下事件的審計(jì)是最基礎(chǔ)的安全審計(jì)功能:服務(wù)器系統(tǒng)啟動(dòng)、運(yùn)行情況;管理員登錄、操作情況;系統(tǒng)配置更改(如注冊(cè)表、配置文件、用戶系統(tǒng)等);病毒或蠕蟲感染情況;資源消耗情況;硬盤、CPU、內(nèi)存、網(wǎng)絡(luò)負(fù)載、進(jìn)程等;操作系統(tǒng)安全日志;系統(tǒng)內(nèi)部事件;對(duì)重要文件的訪問。

 

(3)應(yīng)用平臺(tái)

 

僅僅對(duì)服務(wù)器系統(tǒng)層次的審計(jì)還是不夠的，因?yàn)槟壳按罅恐匾I(lǐng)域信息系統(tǒng)的應(yīng)用平臺(tái)在權(quán)限控制方面還有一定的缺陷，因此存在通過應(yīng)用平臺(tái)進(jìn)行違規(guī)操作的可能性，例如:直接操作數(shù)據(jù)庫的行為。因此，應(yīng)用平臺(tái)層次的安全審計(jì)也是必須的，審計(jì)內(nèi)容包括:重要應(yīng)用平臺(tái)進(jìn)程的運(yùn)行;Web服務(wù)器、Mail服務(wù)器、Lotus、Exchange服務(wù)器、中間件系統(tǒng);各個(gè)平臺(tái)的健康狀況;重要數(shù)據(jù)庫的操作;數(shù)據(jù)庫的進(jìn)程;繞過應(yīng)用軟件直接操作數(shù)據(jù)庫的違規(guī)訪問行為;數(shù)據(jù)庫配置的更改操作;數(shù)據(jù)備份操作和其他維護(hù)管理操作;對(duì)重要數(shù)據(jù)的訪問和更改操作。

 

(4)重要應(yīng)用系統(tǒng)

 

由于不少重要領(lǐng)域信息系統(tǒng)中已經(jīng)建立了一系列的應(yīng)用業(yè)務(wù)系統(tǒng)，因此對(duì)于一般的操作人員來說，業(yè)務(wù)系統(tǒng)是最主要的人機(jī)界面，對(duì)于有高安全需求的重要領(lǐng)域信息系統(tǒng)來說，還需要加強(qiáng)應(yīng)用系統(tǒng)層次的審計(jì)。如對(duì)于電子政務(wù)系統(tǒng)，針對(duì)以下應(yīng)用系統(tǒng)的審計(jì)是最基本的:辦公自動(dòng)化系統(tǒng)、公文流轉(zhuǎn)和操作、網(wǎng)站系統(tǒng)、相關(guān)政務(wù)業(yè)務(wù)系統(tǒng)。

 

⑶重要網(wǎng)絡(luò)區(qū)域的客戶機(jī)

 

在一般的信息系統(tǒng)中，對(duì)客戶機(jī)的審計(jì)通常不是必要的。但是對(duì)于一些安全級(jí)別較高的信息系統(tǒng)的重要網(wǎng)絡(luò)區(qū)域，針對(duì)客戶機(jī)的審計(jì)還是必要的，主要審計(jì)以下內(nèi)容:病毒感染情況;通過網(wǎng)絡(luò)進(jìn)行的文件共享操作;文件拷貝、打印操作;通過Modem擅自連接外網(wǎng)的情況;非業(yè)務(wù)異常軟件的安裝和運(yùn)行。

 

重要領(lǐng)域信息系統(tǒng)中的安全審計(jì)系統(tǒng)建設(shè)的要點(diǎn)

 

在重要領(lǐng)域信息系統(tǒng)中，一個(gè)較為全面的審計(jì)系統(tǒng)需要關(guān)注以下幾點(diǎn)：

 

(1)數(shù)據(jù)的來源

 

審計(jì)系統(tǒng)如何獲取所需的數(shù)據(jù)通常是最關(guān)鍵的，數(shù)據(jù)一般來源于以下幾種方式:來自網(wǎng)絡(luò)數(shù)據(jù)截獲，如各類網(wǎng)絡(luò)監(jiān)聽型的人侵檢測(cè)和審計(jì)系統(tǒng);來自系統(tǒng)、網(wǎng)絡(luò)、防火墻、中間件等系統(tǒng)的日志(通常通過文件、syslog、SNMP、OPSE等機(jī)制獲取日志);通過嵌入模塊，主動(dòng)收集系統(tǒng)內(nèi)部事件;通過網(wǎng)絡(luò)主動(dòng)訪問，獲取信息(如掃描,HTTP訪問等);來自應(yīng)用系統(tǒng)、安全系統(tǒng)的審計(jì)接口。

 

在重要領(lǐng)域信息系統(tǒng)中的安全審計(jì)系統(tǒng)的建設(shè)中，尤其需要考慮強(qiáng)制獲取數(shù)據(jù)的機(jī)制，即:有數(shù)據(jù)源的，通過審計(jì)系統(tǒng)來獲取;無數(shù)據(jù)源的，要設(shè)法生成數(shù)據(jù)，進(jìn)行審計(jì)。這也是強(qiáng)審計(jì)和一般的日志收集系統(tǒng)的區(qū)別之一。目前，各類wrapper技術(shù)是強(qiáng)制生成審計(jì)數(shù)據(jù)源的有效手段之一。

 

另外，在數(shù)據(jù)源方面，還需要關(guān)注所收集數(shù)據(jù)的性質(zhì)，有些數(shù)據(jù)是已經(jīng)經(jīng)過分析和判斷的數(shù)據(jù)，有些數(shù)據(jù)是未分析的原始數(shù)據(jù),不同的數(shù)據(jù)要采用不同的處理機(jī)制。此外在很多系統(tǒng)中可能需要根據(jù)實(shí)際情況定制數(shù)據(jù)轉(zhuǎn)化的功能。

 

(2)審計(jì)系統(tǒng)的分析機(jī)制

 

審計(jì)系統(tǒng)需具備評(píng)判異常、違規(guī)的能力，一個(gè)沒有分析機(jī)制的審計(jì)系統(tǒng)雖然理論上可以獲取和記錄所有的信息，但實(shí)際上在需要多層次審計(jì)的環(huán)境中是不能發(fā)揮作用的。審計(jì)系統(tǒng)的分析機(jī)制通常包括:實(shí)時(shí)分析，提供或獲取數(shù)據(jù)的設(shè)備/軟件應(yīng)具備預(yù)分析能力，并能夠進(jìn)行第一道篩選;事后分析，維護(hù)審計(jì)數(shù)據(jù)的機(jī)構(gòu)對(duì)審計(jì)記錄的事后分析,事后分析通常包括統(tǒng)計(jì)分析和數(shù)據(jù)挖掘兩種技術(shù)。對(duì)于重要領(lǐng)域的信息系統(tǒng)來說,兩方面的分析機(jī)制都是需要的，一般情況下審計(jì)系統(tǒng)都應(yīng)具備實(shí)時(shí)分析能力，如果條件允許,也應(yīng)具備事后分析的能力。

 

⑶與原有系統(tǒng)的關(guān)系

 

通常一般企業(yè)構(gòu)建安全審計(jì)系統(tǒng)時(shí)，僅僅采用一些入侵檢測(cè)系統(tǒng)就滿足需求了，與原有系統(tǒng)關(guān)系不大。但是在重要領(lǐng)域信息系統(tǒng)中，需要實(shí)現(xiàn)多層次多角度的安全強(qiáng)審計(jì)，因此審計(jì)系統(tǒng)必然和原有的系統(tǒng)有一定的關(guān)系。通常，審計(jì)系統(tǒng)與原有系統(tǒng)的關(guān)系包括：完全透明型，原有系統(tǒng)根本察覺不到審計(jì)系統(tǒng)的存在;松散嵌入型，基本上不改變?cè)邢到y(tǒng);緊密嵌人型，需要原有系統(tǒng)的平臺(tái)層和部分應(yīng)用做出較大改變;一體化設(shè)計(jì)，系統(tǒng)設(shè)計(jì)之初就考慮審計(jì)功能，所有模塊都有與審計(jì)系統(tǒng)的接口。

 

如何在實(shí)現(xiàn)審計(jì)的同時(shí)確保原有系統(tǒng)的正常運(yùn)轉(zhuǎn)是審計(jì)系統(tǒng)構(gòu)建的關(guān)鍵，要盡量做到最小修改和影響系統(tǒng)性能最小。

 

(4)如何保證審計(jì)功能不被繞過

 

有了安全審計(jì)的措施，必然會(huì)有各類繞過審計(jì)系統(tǒng)的手段。而在重要領(lǐng)域的信息系統(tǒng)中，審計(jì)系統(tǒng)如果被輕易繞過將導(dǎo)致嚴(yán)重的后果。所以在建設(shè)審計(jì)系統(tǒng)時(shí)，需要充分考慮審計(jì)系統(tǒng)的防繞特性。通常可以采用以下手段增強(qiáng)審計(jì)系統(tǒng)的防繞性:通過技術(shù)手段保證的強(qiáng)制審計(jì)，如網(wǎng)絡(luò)監(jiān)聽和wrapper機(jī)制;通過不同審計(jì)數(shù)據(jù)的相互印證,發(fā)現(xiàn)繞過審計(jì)系統(tǒng)的行為;通過對(duì)審計(jì)記錄的一致性檢查，發(fā)現(xiàn)繞過審計(jì)系統(tǒng)的行為;采用相應(yīng)的管理手段，從多角度保證審計(jì)措施的有力貫徹。

 

(5)對(duì)審計(jì)數(shù)據(jù)的有效利用

 

如果光建立一個(gè)審計(jì)系統(tǒng)，而缺乏對(duì)審計(jì)數(shù)據(jù)的深度利用將無法發(fā)揮審計(jì)系統(tǒng)的作用。可以考慮以下的措施:根據(jù)需求，進(jìn)行二次開發(fā)，對(duì)審計(jì)數(shù)據(jù)進(jìn)行深人的再分析，可以充分利用成熟的分析系統(tǒng)，實(shí)現(xiàn)關(guān)聯(lián)分析、異常點(diǎn)分析、宏觀決策支持等高層審計(jì)功能;對(duì)審計(jì)系統(tǒng)中安全事件建立相應(yīng)的處理流程，并加強(qiáng)對(duì)事件處理的審計(jì)與評(píng)估;根據(jù)審計(jì)數(shù)據(jù)，對(duì)不同的安全部件建立有效的響應(yīng)與聯(lián)動(dòng)措施;針對(duì)審計(jì)記錄，有目的地進(jìn)行應(yīng)急處理以及預(yù)案和演習(xí);建立相應(yīng)的管理機(jī)制，實(shí)現(xiàn)技術(shù)和管理的有機(jī)結(jié)合。

篇4

論文摘要：本文強(qiáng)調(diào)審計(jì)工作的安全、高效和信息化，從審計(jì)工作的現(xiàn)狀、發(fā)展瓶頸到信息化審計(jì)的制度健全、引入主機(jī)系統(tǒng)安全審計(jì)、業(yè)務(wù)系統(tǒng)安全審計(jì)等相關(guān)管理辦法、新技術(shù)或新理念和待解決的問題等方面，論述構(gòu)建安全高效的審計(jì)信息化安全保障體系的措施。

審計(jì)是客觀評(píng)價(jià)個(gè)人，組織、制度、程序、項(xiàng)目或產(chǎn)品。審計(jì)執(zhí)行是以確定有效性和可靠性的信息，還提供了一個(gè)可內(nèi)控的評(píng)估系統(tǒng)。審計(jì)的目標(biāo)是表達(dá)人、組織、系統(tǒng)等的評(píng)估意見，審計(jì)人員在測(cè)試環(huán)境中進(jìn)行評(píng)估工作。審計(jì)必須出示合理并基本無誤的報(bào)表，通常是利用統(tǒng)計(jì)抽樣來完成。審計(jì)也是用來考察和防止虛假數(shù)據(jù)及欺騙行為，檢查、考證目標(biāo)的完整性、準(zhǔn)確性，以及檢查目標(biāo)是否符合既定的標(biāo)準(zhǔn)、尺度和其它審計(jì)準(zhǔn)則。實(shí)現(xiàn)審計(jì)的信息化，有利于管理層迅速準(zhǔn)確的做出決定，對(duì)于政企業(yè)發(fā)展、社會(huì)經(jīng)濟(jì)的進(jìn)步都具有重要作用。目前，我國的審計(jì)工作尚存在性質(zhì)認(rèn)定模糊、工作范圍過于狹窄等問題，有待進(jìn)一步加強(qiáng)和改進(jìn)。

審計(jì)的基礎(chǔ)工作是內(nèi)部審計(jì)，內(nèi)審是審計(jì)監(jiān)督體系中不可或缺的重要組成部分，是全面經(jīng)濟(jì)管理必不可少的手段，是加強(qiáng)任何機(jī)構(gòu)內(nèi)部管理的必要，推動(dòng)經(jīng)濟(jì)管理向科學(xué)化方向發(fā)展的重要環(huán)節(jié)也是審計(jì)。因此說審計(jì)部門是其他監(jiān)督部門不能代替的，促進(jìn)黨風(fēng)廉政建設(shè)、加強(qiáng)對(duì)黨政領(lǐng)導(dǎo)干部及管理人員的監(jiān)督都可以通過審計(jì)來完成。審計(jì)應(yīng)用與高新技術(shù)機(jī)構(gòu)中，在防范風(fēng)險(xiǎn)中發(fā)揮著重要作用，也有助于領(lǐng)導(dǎo)層做出正確決策。

一、審計(jì)工作的現(xiàn)狀及存在的問題

隨著我國經(jīng)濟(jì)迅猛發(fā)展，審計(jì)監(jiān)督力度不斷增強(qiáng)，審計(jì)范圍也不斷擴(kuò)大。當(dāng)前，審計(jì)方式已由財(cái)政財(cái)務(wù)審計(jì)向效益審計(jì)發(fā)展，由賬項(xiàng)基礎(chǔ)審計(jì)向制度基礎(chǔ)審計(jì)、風(fēng)險(xiǎn)基礎(chǔ)審計(jì)發(fā)展，由事后審計(jì)向事中、事前審計(jì)發(fā)展。審計(jì)管理上建立審計(jì)質(zhì)量控制體系，要求審計(jì)機(jī)關(guān)把審計(jì)管理工作前移，把質(zhì)量控制體系貫穿與審計(jì)工作中。在此趨勢(shì)下，傳統(tǒng)的審計(jì)方法暴露出其效率低、審計(jì)范圍小等劣勢(shì)，使得完成審計(jì)任務(wù)，達(dá)到審計(jì)目標(biāo)越發(fā)缺乏及時(shí)性。

(一)內(nèi)部審計(jì)性質(zhì)認(rèn)定較為模糊。內(nèi)部審計(jì)是市場(chǎng)經(jīng)濟(jì)條件下，基于加強(qiáng)經(jīng)營管理的內(nèi)在需要，也是內(nèi)部審計(jì)賴以存在的客觀基礎(chǔ)。但是，現(xiàn)代內(nèi)部審計(jì)的產(chǎn)生卻是一個(gè)行政命令產(chǎn)物，強(qiáng)調(diào)外向。這種審計(jì)模式使人們對(duì)內(nèi)部審計(jì)在性質(zhì)認(rèn)定上產(chǎn)生模糊，阻礙了內(nèi)部審計(jì)的發(fā)展。內(nèi)部審計(jì)很難融入經(jīng)營管理中，審計(jì)工作很難正常開展，很難履行監(jiān)督評(píng)價(jià)職能和開展保證咨詢活動(dòng)，因此就不能充分發(fā)揮其應(yīng)有的內(nèi)向的作用。

(二)內(nèi)部審計(jì)工作范圍過于狹窄。內(nèi)部審計(jì)的目的在于為組織增加價(jià)值并提高組織的運(yùn)作效率，其職能是監(jiān)督和服務(wù)。但是，我國內(nèi)部審計(jì)工作的重心局限在財(cái)務(wù)收支的真實(shí)性及合規(guī)性審計(jì)。長久以來內(nèi)部審計(jì)突出了監(jiān)督職能，而忽視了服務(wù)職能。內(nèi)部審計(jì)認(rèn)識(shí)水平、思想觀念的束縛以及管理體制等諸多因素，影響和阻礙著內(nèi)審作用的有效發(fā)揮。原因有會(huì)計(jì)人員知識(shí)水平、業(yè)務(wù)素質(zhì)不高，也有不重視法律、法規(guī)的因素，還有監(jiān)管不力、查處不嚴(yán)的原因。目前內(nèi)部審計(jì)尚處在查錯(cuò)階段，停留在調(diào)賬、糾正錯(cuò)誤上，還不能多角度、深層次分析問題，沒有較國際先進(jìn)的審計(jì)理念，我國內(nèi)部審計(jì)的作用尚待開發(fā)。審計(jì)人員的計(jì)算機(jī)知識(shí)匱乏，不適應(yīng)電算化、信息化的迅速發(fā)展。目前多數(shù)審計(jì)人員硬件知識(shí)掌握不熟練，軟件知識(shí)了解也不足，因此不能有效地評(píng)估信息系統(tǒng)的安全性、效益性。由于計(jì)算機(jī)審計(jì)軟件開發(fā)標(biāo)準(zhǔn)不同，功能也不完整，因此全面推廣計(jì)算機(jī)輔助審計(jì)就有一定難度，導(dǎo)致審計(jì)人員的知識(shí)和審計(jì)手段滯后于信息化的發(fā)展。

二、信息化審計(jì)體系的健全

當(dāng)前國家審計(jì)信息化發(fā)展的趨勢(shì)是建立審計(jì)信息資源的標(biāo)準(zhǔn)化、共享化、公開化，逐步達(dá)到向現(xiàn)代審計(jì)方式的轉(zhuǎn)變。這一趨勢(shì)是隨著當(dāng)前科學(xué)發(fā)展、和諧社會(huì)的推進(jìn)，國家確立的公共財(cái)政建設(shè)、公共服務(wù)的實(shí)施、公共產(chǎn)品的提供應(yīng)運(yùn)而生的，三個(gè)“公共”的主旨是：國家財(cái)政資金的使用更注重民生；使用重點(diǎn)更注重服務(wù)；使用效益更注重民意。

信息安全審計(jì)是任何機(jī)構(gòu)內(nèi)控、信息系統(tǒng)治理、安全風(fēng)險(xiǎn)控制等不可或缺的關(guān)鍵手段。收集并評(píng)估證據(jù)以決定一個(gè)計(jì)算機(jī)系統(tǒng)是否有效地做到保護(hù)資產(chǎn)、維護(hù)數(shù)據(jù)完整、完成目標(biāo)，同時(shí)能更經(jīng)濟(jì)的使用資源。信息安全審計(jì)與信息安全管理密切相關(guān)，信息安全審計(jì)的主要依據(jù)是出于不同的角度提出的控制體系的信息安全管理相關(guān)的標(biāo)準(zhǔn)。這些控制體系下的信息化審計(jì)可以有效地控制信息安全，從而達(dá)到安全審計(jì)的目的，提高信息系統(tǒng)的安全性。由此，國際組織也制定了相關(guān)文件規(guī)范填補(bǔ)信息系統(tǒng)審計(jì)方面的某些空白。例如《信息安全管理業(yè)務(wù)規(guī)范》通過了國際標(biāo)準(zhǔn)化組織ISO的認(rèn)可，正式成為國際標(biāo)準(zhǔn)。我國法律也針對(duì)信息安全審計(jì)制定出了《中華人民共和國審計(jì)法》、《國務(wù)院辦公廳關(guān)利用計(jì)算機(jī)信息系統(tǒng)開展審計(jì)工作有關(guān)的通知》等文件，基本規(guī)范了內(nèi)部審計(jì)機(jī)制，健全了內(nèi)部審計(jì)機(jī)構(gòu)；強(qiáng)調(diào)機(jī)構(gòu)應(yīng)加強(qiáng)內(nèi)審工作，機(jī)構(gòu)內(nèi)部要形成有權(quán)就有責(zé)、用權(quán)受監(jiān)督的最佳氛圍；審計(jì)委員會(huì)直接對(duì)領(lǐng)導(dǎo)班子負(fù)責(zé)，其成員需具有相應(yīng)的獨(dú)立性，委員會(huì)成員具良好的職業(yè)操守和能力，內(nèi)審人員應(yīng)當(dāng)具備內(nèi)審人員從業(yè)資格，其工作范圍不應(yīng)受到人為限制。內(nèi)部審計(jì)機(jī)構(gòu)對(duì)審計(jì)過程中發(fā)現(xiàn)的重大問題，視具體情況，可以直接向?qū)徲?jì)委員會(huì)或者領(lǐng)導(dǎo)層報(bào)告。 轉(zhuǎn)貼于 　三、主機(jī)系統(tǒng)安全審計(jì)

信息技術(shù)審計(jì)，或信息系統(tǒng)審計(jì)，是一個(gè)信息技術(shù)基礎(chǔ)設(shè)施控制范圍內(nèi)的檢查。信息系統(tǒng)審計(jì)是一個(gè)通過收集和評(píng)價(jià)審計(jì)證據(jù)，對(duì)信息系統(tǒng)是否能夠保護(hù)資產(chǎn)的安全、維護(hù)數(shù)據(jù)的完整、使被審計(jì)單位的目標(biāo)得以有效地實(shí)現(xiàn)、使組織的資源得到高效地使用等方面做出判斷的過程。

以技術(shù)劃分，信息化安全審計(jì)主要分為主機(jī)審計(jì)、網(wǎng)絡(luò)審計(jì)、應(yīng)用審計(jì)、數(shù)據(jù)庫審計(jì)，綜合審計(jì)。簡單的說獲取、記錄被審計(jì)主機(jī)的狀態(tài)信息和敏感操作就是主機(jī)審計(jì)，主機(jī)審計(jì)可以從已有的系統(tǒng)審計(jì)記錄中提取相關(guān)信息，并以審計(jì)規(guī)則為標(biāo)準(zhǔn)來分析判斷被審計(jì)主機(jī)是否存在違規(guī)行為。總之，為了在最大限度保障安全的基礎(chǔ)上找到最佳途徑使得業(yè)務(wù)正常工作的一切行為及手段，而對(duì)計(jì)算機(jī)信息系統(tǒng)的薄弱環(huán)節(jié)進(jìn)行檢測(cè)、評(píng)估及分析，都可稱作安全審計(jì)。

主機(jī)安全審計(jì)系統(tǒng)中事件產(chǎn)生器、分析器和響應(yīng)單元已經(jīng)分別以智能審計(jì)主機(jī)、系統(tǒng)中心、管理與報(bào)警處置控制臺(tái)來替代。實(shí)現(xiàn)主機(jī)安全系統(tǒng)的審計(jì)包括系統(tǒng)安全審計(jì)、主機(jī)應(yīng)用安全審計(jì)及用戶行為審計(jì)。智能審計(jì)替代主機(jī)安裝在網(wǎng)絡(luò)計(jì)算機(jī)用戶上，并按照設(shè)計(jì)思路監(jiān)視用戶操作行為，同時(shí)智能分析事件安全。從面向防護(hù)的對(duì)象可將主機(jī)安全審計(jì)系統(tǒng)分為系統(tǒng)安全審計(jì)、主機(jī)應(yīng)用安全審計(jì)、用戶行為審計(jì)、移動(dòng)數(shù)據(jù)防護(hù)審計(jì)等方面。

四、待解決的若干問題

計(jì)算機(jī)與信息系統(tǒng)廣泛使用，如何加強(qiáng)對(duì)終端用戶計(jì)算機(jī)的安全管理成為一個(gè)急需解決的問題。這就需要建立一個(gè)信息安全體系，也就是建立安全策略體系、安全管理體系和安全技術(shù)體系。

保護(hù)網(wǎng)絡(luò)設(shè)備、設(shè)施、介質(zhì)，對(duì)操作系統(tǒng)、數(shù)據(jù)庫及服務(wù)系統(tǒng)進(jìn)行漏洞修補(bǔ)和安全加固，對(duì)服務(wù)器建立嚴(yán)格審核。在安全管理上完善人員管理、資產(chǎn)管理、站點(diǎn)維護(hù)管理、災(zāi)難管理、應(yīng)急響應(yīng)、安全服務(wù)、人才管理，形成一套比較完備的信息系統(tǒng)安全管理保障體系。

防火墻是保證網(wǎng)絡(luò)安全的重要屏障，也是降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的重要因素。VPN可以通過一個(gè)公用網(wǎng)絡(luò)建立一個(gè)臨時(shí)的、安壘的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。借助專業(yè)的防DDos系統(tǒng)，可以有效的阻止惡意攻擊。信息系統(tǒng)的安全需求是全方位的、系統(tǒng)的、整體的，需要從技術(shù)、管理等方面進(jìn)行全面的安全設(shè)計(jì)和建設(shè)，有效提高信息系統(tǒng)的防護(hù)、檢側(cè)、響應(yīng)、恢復(fù)能力，以抵御不斷出現(xiàn)的安全威脅與風(fēng)險(xiǎn)，保證系統(tǒng)長期穩(wěn)定可靠的運(yùn)行。嚴(yán)格的安全管理制度，明確的安全職責(zé)劃分，合理的人員角色定義，都可以在很大程度上減少網(wǎng)絡(luò)的安全隱患。

從戰(zhàn)略高度充分認(rèn)識(shí)信息安全的重要性和緊迫性。健全安全管理組織體系，明確安全管理的相關(guān)組織、機(jī)構(gòu)和職責(zé)，建立集中統(tǒng)一、分工協(xié)作、各司其職的安全管理責(zé)任機(jī)制。為了確保突發(fā)重大安全事件時(shí)，能得到及時(shí)的響應(yīng)和支援，信息系統(tǒng)必須建立和逐步完善應(yīng)急響應(yīng)支援體系，確保整個(gè)信息系統(tǒng)的安全穩(wěn)定運(yùn)行。

參考文獻(xiàn)：

[1]宋新月，內(nèi)部審計(jì)在經(jīng)濟(jì)管理中的重要作用淺析[J]，知識(shí)經(jīng)濟(jì)，2009

篇5

關(guān)鍵詞：審計(jì)；信息化，安全保障體系；主機(jī)審計(jì)

審計(jì)是客觀評(píng)價(jià)個(gè)人，組織、制度、程序、項(xiàng)目或產(chǎn)品。審計(jì)執(zhí)行是以確定有效性和可靠性的信息，還提供了一個(gè)可內(nèi)控的評(píng)估系統(tǒng)。審計(jì)的目標(biāo)是表達(dá)人、組織、系統(tǒng)等的評(píng)估意見，審計(jì)人員在測(cè)試環(huán)境中進(jìn)行評(píng)估工作。審計(jì)必須出示合理并基本無誤的報(bào)表，通常是利用統(tǒng)計(jì)抽樣來完成。審計(jì)也是用來考察和防止虛假數(shù)據(jù)及欺騙行為，檢查、考證目標(biāo)的完整性、準(zhǔn)確性，以及檢查目標(biāo)是否符合既定的標(biāo)準(zhǔn)、尺度和其它審計(jì)準(zhǔn)則。實(shí)現(xiàn)審計(jì)的信息化，有利于管理層迅速準(zhǔn)確的做出決定，對(duì)于政企業(yè)發(fā)展、社會(huì)經(jīng)濟(jì)的進(jìn)步都具有重要作用。目前，我國的審計(jì)工作尚存在性質(zhì)認(rèn)定模糊、工作范圍過于狹窄等問題，有待進(jìn)一步加強(qiáng)和改進(jìn)。

審計(jì)的基礎(chǔ)工作是內(nèi)部審計(jì)，內(nèi)審是審計(jì)監(jiān)督體系中不可或缺的重要組成部分，是全面經(jīng)濟(jì)管理必不可少的手段，是加強(qiáng)任何機(jī)構(gòu)內(nèi)部管理的必要，推動(dòng)經(jīng)濟(jì)管理向科學(xué)化方向發(fā)展的重要環(huán)節(jié)也是審計(jì)。因此說審計(jì)部門是其他監(jiān)督部門不能代替的，促進(jìn)黨風(fēng)廉政建設(shè)、加強(qiáng)對(duì)黨政領(lǐng)導(dǎo)干部及管理人員的監(jiān)督都可以通過審計(jì)來完成。審計(jì)應(yīng)用與高新技術(shù)機(jī)構(gòu)中，在防范風(fēng)險(xiǎn)中發(fā)揮著重要作用，也有助于領(lǐng)導(dǎo)層做出正確決策。

一、審計(jì)工作的現(xiàn)狀及存在的問題

隨著我國經(jīng)濟(jì)迅猛發(fā)展，審計(jì)監(jiān)督力度不斷增強(qiáng)，審計(jì)范圍也不斷擴(kuò)大。當(dāng)前，審計(jì)方式已由財(cái)政財(cái)務(wù)審計(jì)向效益審計(jì)發(fā)展，由賬項(xiàng)基礎(chǔ)審計(jì)向制度基礎(chǔ)審計(jì)、風(fēng)險(xiǎn)基礎(chǔ)審計(jì)發(fā)展，由事后審計(jì)向事中、事前審計(jì)發(fā)展。審計(jì)管理上建立審計(jì)質(zhì)量控制體系，要求審計(jì)機(jī)關(guān)把審計(jì)管理工作前移，把質(zhì)量控制體系貫穿與審計(jì)工作中。在此趨勢(shì)下，傳統(tǒng)的審計(jì)方法暴露出其效率低、審計(jì)范圍小等劣勢(shì)，使得完成審計(jì)任務(wù)，達(dá)到審計(jì)目標(biāo)越發(fā)缺乏及時(shí)性。

(一)內(nèi)部審計(jì)性質(zhì)認(rèn)定較為模糊。內(nèi)部審計(jì)是市場(chǎng)經(jīng)濟(jì)條件下，基于加強(qiáng)經(jīng)營管理的內(nèi)在需要，也是內(nèi)部審計(jì)賴以存在的客觀基礎(chǔ)。但是，現(xiàn)代內(nèi)部審計(jì)的產(chǎn)生卻是一個(gè)行政命令產(chǎn)物，強(qiáng)調(diào)外向。這種審計(jì)模式使人們對(duì)內(nèi)部審計(jì)在性質(zhì)認(rèn)定上產(chǎn)生模糊，阻礙了內(nèi)部審計(jì)的發(fā)展。內(nèi)部審計(jì)很難融入經(jīng)營管理中，審計(jì)工作很難正常開展，很難履行監(jiān)督評(píng)價(jià)職能和開展保證咨詢活動(dòng)，因此就不能充分發(fā)揮其應(yīng)有的內(nèi)向的作用。

(二)內(nèi)部審計(jì)工作范圍過于狹窄。內(nèi)部審計(jì)的目的在于為組織增加價(jià)值并提高組織的運(yùn)作效率，其職能是監(jiān)督和服務(wù)。但是，我國內(nèi)部審計(jì)工作的重心局限在財(cái)務(wù)收支的真實(shí)性及合規(guī)性審計(jì)。長久以來內(nèi)部審計(jì)突出了監(jiān)督職能，而忽視了服務(wù)職能。內(nèi)部審計(jì)認(rèn)識(shí)水平、思想觀念的束縛以及管理體制等諸多因素，影響和阻礙著內(nèi)審作用的有效發(fā)揮。原因有會(huì)計(jì)人員知識(shí)水平、業(yè)務(wù)素質(zhì)不高，也有不重視法律、法規(guī)的因素，還有監(jiān)管不力、查處不嚴(yán)的原因。目前內(nèi)部審計(jì)尚處在查錯(cuò)階段，停留在調(diào)賬、糾正錯(cuò)誤上，還不能多角度、深層次分析問題，沒有較國際先進(jìn)的審計(jì)理念，我國內(nèi)部審計(jì)的作用尚待開發(fā)。審計(jì)人員的計(jì)算機(jī)知識(shí)匱乏，不適應(yīng)電算化、信息化的迅速發(fā)展。目前多數(shù)審計(jì)人員硬件知識(shí)掌握不熟練，軟件知識(shí)了解也不足，因此不能有效地評(píng)估信息系統(tǒng)的安全性、效益性。由于計(jì)算機(jī)審計(jì)軟件開發(fā)標(biāo)準(zhǔn)不同，功能也不完整，因此全面推廣計(jì)算機(jī)輔助審計(jì)就有一定難度，導(dǎo)致審計(jì)人員的知識(shí)和審計(jì)手段滯后于信息化的發(fā)展。

二、信息化審計(jì)體系的健全

當(dāng)前國家審計(jì)信息化發(fā)展的趨勢(shì)是建立審計(jì)信息資源的標(biāo)準(zhǔn)化、共享化、公開化，逐步達(dá)到向現(xiàn)代審計(jì)方式的轉(zhuǎn)變。這一趨勢(shì)是隨著當(dāng)前科學(xué)發(fā)展、和諧社會(huì)的推進(jìn)，國家確立的公共財(cái)政建設(shè)、公共服務(wù)的實(shí)施、公共產(chǎn)品的提供應(yīng)運(yùn)而生的，三個(gè)“公共”的主旨是：國家財(cái)政資金的使用更注重民生；使用重點(diǎn)更注重服務(wù)；使用效益更注重民意。

信息安全審計(jì)是任何機(jī)構(gòu)內(nèi)控、信息系統(tǒng)治理、安全風(fēng)險(xiǎn)控制等不可或缺的關(guān)鍵手段。收集并評(píng)估證據(jù)以決定一個(gè)計(jì)算機(jī)系統(tǒng)是否有效地做到保護(hù)資產(chǎn)、維護(hù)數(shù)據(jù)完整、完成目標(biāo)，同時(shí)能更經(jīng)濟(jì)的使用資源。信息安全審計(jì)與信息安全管理密切相關(guān)，信息安全審計(jì)的主要依據(jù)是出于不同的角度提出的控制體系的信息安全管理相關(guān)的標(biāo)準(zhǔn)。這些控制體系下的信息化審計(jì)可以有效地控制信息安全，從而達(dá)到安全審計(jì)的目的，提高信息系統(tǒng)的安全性。由此，國際組織也制定了相關(guān)文件規(guī)范填補(bǔ)信息系統(tǒng)審計(jì)方面的某些空白。例如《信息安全管理業(yè)務(wù)規(guī)范》通過了國際標(biāo)準(zhǔn)化組織ISO的認(rèn)可，正式成為國際標(biāo)準(zhǔn)。我國法律也針對(duì)信息安全審計(jì)制定出了《中華人民共和國審計(jì)法》、《國務(wù)院辦公廳關(guān)利用計(jì)算機(jī)信息系統(tǒng)開展審計(jì)工作有關(guān)的通知》等文件，基本規(guī)范了內(nèi)部審計(jì)機(jī)制，健全了內(nèi)部審計(jì)機(jī)構(gòu)；強(qiáng)調(diào)機(jī)構(gòu)應(yīng)加強(qiáng)內(nèi)審工作，機(jī)構(gòu)內(nèi)部要形成有權(quán)就有責(zé)、用權(quán)受監(jiān)督的最佳氛圍；審計(jì)委員會(huì)直接對(duì)領(lǐng)導(dǎo)班子負(fù)責(zé)，其成員需具有相應(yīng)的獨(dú)立性，委員會(huì)成員具良好的職業(yè)操守和能力，內(nèi)審人員應(yīng)當(dāng)具備內(nèi)審人員從業(yè)資格，其工作范圍不應(yīng)受到人為限制。內(nèi)部審計(jì)機(jī)構(gòu)對(duì)審計(jì)過程中發(fā)現(xiàn)的重大問題，視具體情況，可以直接向?qū)徲?jì)委員會(huì)或者領(lǐng)導(dǎo)層報(bào)告。

三、主機(jī)系統(tǒng)安全審計(jì)

信息技術(shù)審計(jì)，或信息系統(tǒng)審計(jì)，是一個(gè)信息技術(shù)基礎(chǔ)設(shè)施控制范圍內(nèi)的檢查。信息系統(tǒng)審計(jì)是一個(gè)通過收集和評(píng)價(jià)審計(jì)證據(jù)，對(duì)信息系統(tǒng)是否能夠保護(hù)資產(chǎn)的安全、維護(hù)數(shù)據(jù)的完整、使被審計(jì)單位的目標(biāo)得以有效地實(shí)現(xiàn)、使組織的資源得到高效地使用等方面做出判斷的過程。

以技術(shù)劃分，信息化安全審計(jì)主要分為主機(jī)審計(jì)、網(wǎng)絡(luò)審計(jì)、應(yīng)用審計(jì)、數(shù)據(jù)庫審計(jì)，綜合審計(jì)。簡單的說獲取、記錄被審計(jì)主機(jī)的狀態(tài)信息和敏感操作就是主機(jī)審計(jì)，主機(jī)審計(jì)可以從已有的系統(tǒng)審計(jì)記錄中提取相關(guān)信息，并以審計(jì)規(guī)則為標(biāo)準(zhǔn)來分析判斷被審計(jì)主機(jī)是否存在違規(guī)行為。總之，為了在最大限度保障安全的基礎(chǔ)上找到最佳途徑使得業(yè)務(wù)正常工作的一切行為及手段，而對(duì)計(jì)算機(jī)信息系統(tǒng)的薄弱環(huán)節(jié)進(jìn)行檢測(cè)、評(píng)估及分析，都可稱作安全審計(jì)。

主機(jī)安全審計(jì)系統(tǒng)中事件產(chǎn)生器、分析器和響應(yīng)單元已經(jīng)分別以智能審計(jì)主機(jī)、系統(tǒng)中心、管理與報(bào)警處置控制臺(tái)來替代。實(shí)現(xiàn)主機(jī)安全系統(tǒng)的審計(jì)包括系統(tǒng)安全審計(jì)、主機(jī)應(yīng)用安全審計(jì)及用戶行為審計(jì)。智能審計(jì)替代主機(jī)安裝在網(wǎng)絡(luò)計(jì)算機(jī)用戶上，并按照設(shè)計(jì)思路監(jiān)視用戶操作行為，同時(shí)智能分析事件安全。從面向防護(hù)的對(duì)象可將主機(jī)安全審計(jì)系統(tǒng)分為系統(tǒng)安全審計(jì)、主機(jī)應(yīng)用安全審計(jì)、用戶行為審計(jì)、移動(dòng)數(shù)據(jù)防護(hù)審計(jì)等方面。

四、待解決的若干問題

計(jì)算機(jī)與信息系統(tǒng)廣泛使用，如何加強(qiáng)對(duì)終端用戶計(jì)算機(jī)的安全管理成為一個(gè)急需解決的問題。這就需要建立一個(gè)信息安全體系，也就是建立安全策略體系、安全管理體系和安全技術(shù)體系。

保護(hù)網(wǎng)絡(luò)設(shè)備、設(shè)施、介質(zhì)，對(duì)操作系統(tǒng)、數(shù)據(jù)庫及服務(wù)系統(tǒng)進(jìn)行漏洞修補(bǔ)和安全加固，對(duì)服務(wù)器建立嚴(yán)格審核。在安全管理上完善人員管理、資產(chǎn)管理、站點(diǎn)維護(hù)管理、災(zāi)難管理、應(yīng)急響應(yīng)、安全服務(wù)、人才管理，形成一套比較完備的信息系統(tǒng)安全管理保障體系。

防火墻是保證網(wǎng)絡(luò)安全的重要屏障，也是降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的重要因素。VPN可以通過一個(gè)公用網(wǎng)絡(luò)建立一個(gè)臨時(shí)的、安壘的連接，是一條穿過混亂的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。借助專業(yè)的防DDos系統(tǒng)，可以有效的阻止惡意攻擊。信息系統(tǒng)的安全需求是全方位的、系統(tǒng)的、整體的，需要從技術(shù)、管理等方面進(jìn)行全面的安全設(shè)計(jì)和建設(shè)，有效提高信息系統(tǒng)的防護(hù)、檢側(cè)、響應(yīng)、恢復(fù)能力，以抵御不斷出現(xiàn)的安全威脅與風(fēng)險(xiǎn)，保證系統(tǒng)長期穩(wěn)定可靠的運(yùn)行。嚴(yán)格的安全管理制度，明確的安全職責(zé)劃分，合理的人員角色定義，都可以在很大程度上減少網(wǎng)絡(luò)的安全隱患。

從戰(zhàn)略高度充分認(rèn)識(shí)信息安全的重要性和緊迫性。健全安全管理組織體系，明確安全管理的相關(guān)組織、機(jī)構(gòu)和職責(zé)，建立集中統(tǒng)一、分工協(xié)作、各司其職的安全管理責(zé)任機(jī)制。為了確保突發(fā)重大安全事件時(shí)，能得到及時(shí)的響應(yīng)和支援，信息系統(tǒng)必須建立和逐步完善應(yīng)急響應(yīng)支援體系，確保整個(gè)信息系統(tǒng)的安全穩(wěn)定運(yùn)行。

參考文獻(xiàn)：

[1]宋新月，內(nèi)部審計(jì)在經(jīng)濟(jì)管理中的重要作用淺析[J]，知識(shí)經(jīng)濟(jì)，2009