第1部分IS審計(jì)綜述ppt課件

1、第一部分電腦技術(shù)在內(nèi)部審計(jì)的運(yùn)用引見(jiàn) 第二部分信息系統(tǒng)管理第三部分信息系統(tǒng)開(kāi)發(fā)和維護(hù).第一部分電腦技術(shù)在內(nèi)部審計(jì)的運(yùn)用引見(jiàn)概述 .目的對(duì)信息系統(tǒng)審計(jì)評(píng)價(jià)作普通性了解引見(jiàn)在信息系統(tǒng)管理評(píng)價(jià)、可晉級(jí)性評(píng)價(jià)、信息平安評(píng)價(jià)和可用性評(píng)價(jià)中運(yùn)用的技術(shù)和流程.信息系統(tǒng)審計(jì)的框架規(guī)范 確定信息系統(tǒng)審計(jì)和報(bào)告的法定要求指引 為信息系統(tǒng)審計(jì)準(zhǔn)那么的運(yùn)用提供指引程序 舉例闡明信息系統(tǒng)審計(jì)師在審計(jì)工程中可遵照的程序可在以下網(wǎng)址查閱信息系統(tǒng)審計(jì)和控制協(xié)會(huì)(“ISACA) 準(zhǔn)那么和指引 /stand1.htm.風(fēng)險(xiǎn)和控制國(guó)際規(guī)范化組織(“ISO) 定義 風(fēng)險(xiǎn) 為 “利用一項(xiàng)資產(chǎn)或一組資產(chǎn)的薄弱環(huán)節(jié)，某些

2、特定要挾可以導(dǎo)致資產(chǎn)損失或損害的能夠性. 審計(jì)師必需可以識(shí)別風(fēng)險(xiǎn)及用于防御這些風(fēng)險(xiǎn)的控制 .安達(dá)信的業(yè)務(wù)風(fēng)險(xiǎn)模型.信息技術(shù)風(fēng)險(xiǎn) 訪問(wèn) - 信息的訪問(wèn)被不適當(dāng)?shù)卦试S或回絕的風(fēng)險(xiǎn)一致性 - 在買(mǎi)賣(mài)輸入、買(mǎi)賣(mài)處置、匯總和報(bào)告過(guò)程中，與授權(quán)、完好性和準(zhǔn)確性相關(guān)的風(fēng)險(xiǎn)相關(guān)性 - 信息與其搜集、維護(hù)或發(fā)布的目的無(wú)關(guān)可用性 - 需求時(shí)得不到所需的信息根底設(shè)備 - 企業(yè)沒(méi)有有效的信息技術(shù)根底設(shè)備例如硬件、網(wǎng)絡(luò)、軟件、人員和流程，以高效率、低本錢(qián)、有組織地滿(mǎn)足企業(yè)的目前和未來(lái)需求風(fēng)險(xiǎn)模型.技術(shù)架構(gòu)監(jiān)察事項(xiàng) 風(fēng)險(xiǎn)控制訪問(wèn)一致性可用性相關(guān)性根底設(shè)備規(guī)條和指引 政策、規(guī)范、開(kāi)展管理風(fēng)險(xiǎn)管理框架.訪問(wèn)嚴(yán)密性目的：維護(hù)個(gè)

3、人信息或有價(jià)值信息免遭有意或無(wú)意的、未經(jīng)授權(quán)的泄露。信息的讀取能夠會(huì)被不恰當(dāng)?shù)卦试S或回絕的風(fēng)險(xiǎn)。未授權(quán)的人員能夠讀取嚴(yán)密信息。發(fā)生于各個(gè)層面網(wǎng)絡(luò)層訪問(wèn)處置環(huán)境訪問(wèn)運(yùn)用系統(tǒng)訪問(wèn)功能層訪問(wèn)訪問(wèn)風(fēng)險(xiǎn).一致性 (準(zhǔn)確真實(shí))目的: 維護(hù)重要數(shù)據(jù)免遭有預(yù)謀的或無(wú)意的、未經(jīng)授權(quán)的篡改或刪除在買(mǎi)賣(mài)輸入公司所運(yùn)用的各種運(yùn)用系統(tǒng)，并在系統(tǒng)內(nèi)進(jìn)展處置、匯總和報(bào)告的過(guò)程中，與信息的授權(quán)、完好性和準(zhǔn)確性相關(guān)的風(fēng)險(xiǎn)典型問(wèn)題：用戶(hù)界面、處置、錯(cuò)誤處置、變卦管理、數(shù)據(jù)等一致性風(fēng)險(xiǎn).可用性目的 : 防止對(duì)真正的用戶(hù)回絕提供信息技術(shù)效力或未經(jīng)授權(quán)地保管效力需求時(shí)不能得到所需信息的風(fēng)險(xiǎn)相關(guān)性信息與其搜集、維護(hù)或發(fā)布的目的不符的風(fēng)險(xiǎn)

4、可用性和相關(guān)性.根底設(shè)備企業(yè)沒(méi)有有效的信息技術(shù)根底設(shè)備例如硬件、網(wǎng)絡(luò)、軟件、人員和流程，不可以高效率、低本錢(qián)、有組織地滿(mǎn)足企業(yè)的目前和未來(lái)的需求重點(diǎn)留意以下中心信息技術(shù)流程組織架構(gòu)運(yùn)用系統(tǒng)的定義、推行和變卦管理物理設(shè)備平安計(jì)算機(jī)和網(wǎng)絡(luò)操作數(shù)據(jù)和數(shù)據(jù)庫(kù)的管理業(yè)務(wù)/數(shù)據(jù)中心復(fù)原根底設(shè)備.風(fēng)險(xiǎn)評(píng)價(jià)確認(rèn)產(chǎn)生/存儲(chǔ)、運(yùn)用或支配資產(chǎn)的信息資產(chǎn)和潛在的系統(tǒng)資產(chǎn)面對(duì)的潛在要挾及能夠帶來(lái)的后果確認(rèn)并評(píng)價(jià)提出的控制和平安謀劃，以：防止或降低風(fēng)險(xiǎn)發(fā)生的能夠性；警惕風(fēng)險(xiǎn)的發(fā)生并將風(fēng)險(xiǎn)的影響降到最低.風(fēng)險(xiǎn)控制的評(píng)價(jià)步驟識(shí)別風(fēng)險(xiǎn)控制評(píng)價(jià)風(fēng)險(xiǎn)控制設(shè)計(jì)的有效性確定控制措施的正常運(yùn)作測(cè)試控制措施運(yùn)作的效果.控制的定義：“可以提

5、供合理保證的政策、措施和組織構(gòu)造“提供適當(dāng)?shù)男畔⒓夹g(shù)維護(hù)并支持關(guān)鍵流程的技術(shù)可擴(kuò)展性IT 戰(zhàn)略規(guī)劃負(fù)載測(cè)試訪問(wèn)操作系統(tǒng)平安防火墻和路由器運(yùn)用程序根底設(shè)備系統(tǒng)監(jiān)控行政管理職責(zé)分工可用性應(yīng)急方案?jìng)浞?復(fù)原系統(tǒng)設(shè)計(jì)高可用性方案 相關(guān)性系統(tǒng)開(kāi)發(fā)控制潛在控制.信息技術(shù)風(fēng)險(xiǎn)管理信息技術(shù)風(fēng)險(xiǎn)評(píng)價(jià)制定信息技術(shù)平安框架 制定信息技術(shù)平安政策和措施 開(kāi)展信息技術(shù)平安培訓(xùn) 建立信息技術(shù)風(fēng)險(xiǎn)管理部門(mén)，監(jiān)控政策和措施的執(zhí)行 系統(tǒng)評(píng)價(jià)/審計(jì).信息技術(shù)審計(jì)的重點(diǎn)數(shù)據(jù)中心平安評(píng)價(jià)評(píng)價(jià)信息技術(shù)部門(mén)的職責(zé)分工評(píng)價(jià)物理平安措施，防備對(duì)關(guān)鍵電腦和網(wǎng)絡(luò)設(shè)備的非授權(quán)物理訪問(wèn)評(píng)價(jià)日常電腦運(yùn)作和物理管理控制評(píng)價(jià)系統(tǒng)開(kāi)發(fā)和維護(hù)控制程序評(píng)價(jià)測(cè)試和變卦管理控制評(píng)價(jià)備份和復(fù)原程序，以及災(zāi)難復(fù)原方案運(yùn)用系統(tǒng)平安評(píng)價(jià)評(píng)價(jià)數(shù)據(jù)輸入控制，例如數(shù)據(jù)驗(yàn)證和買(mǎi)賣(mài)確認(rèn)評(píng)價(jià)數(shù)據(jù)處置控制，例如買(mǎi)賣(mài)處置、更新和界面控制評(píng)價(jià)主文件一致性控制評(píng)價(jià)數(shù)據(jù)輸出控制