信息系統(tǒng)安全常用檢查方法

信息系統(tǒng)安全常用檢查方法1問卷與函證一、問卷問卷是獲取基本信息的有效手段，可以分為調(diào)查問卷和訪談問卷。調(diào)查問卷通常適用于調(diào)查對(duì)象眾多、分布區(qū)域較廣泛的情況。通過分析調(diào)查問卷，可以了解檢查項(xiàng)目在各個(gè)被查單位的狀況，從而識(shí)別出主要的風(fēng)險(xiǎn)和問題所在，進(jìn)而可以確定主要檢查目標(biāo)。訪談問卷適用于現(xiàn)場(chǎng)檢查項(xiàng)目，可提前發(fā)送給被訪談人，以便其作必要的準(zhǔn)備，使訪談可以順利進(jìn)行。二、函證函證是利用特定類型的問卷直接從第三方獲取信息或現(xiàn)有狀況聲明的過程。函證有很強(qiáng)的核對(duì)性，在查證方面非常有效。但是第三方的獨(dú)立性程度決定了函證的有效性，通常從獨(dú)立第三方獲得的函證答復(fù)的確信程度最高。函證包括肯定式函證和否定式函證?？隙ㄊ胶C就是向第三方發(fā)出詢證函，要求其證實(shí)所函證的內(nèi)容是否正確，無(wú)論對(duì)錯(cuò)都要求復(fù)函；否定式函證，它是向第三方發(fā)出詢證函，但所函證的內(nèi)容相符時(shí)不必復(fù)函，只有不符時(shí)才要求復(fù)函。這兩種方式各有優(yōu)缺點(diǎn)，前者所獲取的檢查證據(jù)較為可靠，但檢查成本較高；后者因不可知因素的存在，所獲取的檢查證據(jù)較前者來(lái)說不可靠，但成本相對(duì)較低。這里必須強(qiáng)調(diào)的是，對(duì)于重要的檢查事項(xiàng)不應(yīng)以檢查成本的高低作為增減檢查程序的理由。2訪談訪談是指向被檢查機(jī)構(gòu)的有關(guān)人員口頭了解與檢查事項(xiàng)相關(guān)的信息。訪談一般用于檢查項(xiàng)目的開始階段，為進(jìn)一步查閱相關(guān)資料和檢查做準(zhǔn)備。訪談對(duì)象可以是一個(gè)人、也可以是多個(gè)人（如一個(gè)部門、一個(gè)項(xiàng)目團(tuán)隊(duì)、某一系統(tǒng)相關(guān)人員等）。訪談可以針對(duì)某一特定問題，也可以針對(duì)某一特定領(lǐng)域。訪談前檢查人員一般要準(zhǔn)備訪談提綱，并提前通知訪談對(duì)象，以便其進(jìn)行必要的準(zhǔn)備。訪談過程中要做好訪談?dòng)涗洠L談對(duì)象要在訪談?dòng)涗浬虾炞?。訪談過程有可能直接面對(duì)當(dāng)事人，也有可能是相關(guān)人員，因此要注意辨別回答問題的真實(shí)性，要通過進(jìn)一步的檢查驗(yàn)證來(lái)證實(shí)訪談的真實(shí)性，要注意運(yùn)用訪談交叉驗(yàn)證的技巧，要通過對(duì)同一問題不同人員的回答中發(fā)現(xiàn)問題。訪談是獲取信息最方便、快捷的方法。但是，訪談本身具有一定的局限性，如訪談對(duì)象選擇合適與否、訪談?dòng)?jì)劃準(zhǔn)備是否充分，對(duì)訪談結(jié)果的有效性具有較大影響。另外，和其他檢查方法相比，僅通過訪談通常不能提供足夠的檢查證據(jù)，所能得到的確信程度較低。因此，通常不能只用通過訪談獲得的證據(jù)來(lái)支持檢查結(jié)論，而是還應(yīng)執(zhí)行其它的檢查程序以獲取足夠適當(dāng)?shù)臋z查證據(jù)。比如，在審閱關(guān)于系統(tǒng)用戶賬號(hào)和權(quán)限的定期審閱的控制時(shí)，除與有關(guān)人員進(jìn)行訪談了解該控制的存在性外，還需要審閱相關(guān)的文檔，檢查相關(guān)控制執(zhí)行時(shí)所留下的痕跡和證據(jù)，如執(zhí)行人在流程控制文檔上的簽字確認(rèn)，已獲得證明該控制的實(shí)際有效執(zhí)行的證據(jù)。3查閱查閱內(nèi)部或外部記錄或文檔，包括書面形式、電子形式或其他媒體形式的記錄或文檔，適用于檢查項(xiàng)目的不同階段。在項(xiàng)目初期獲取信息階段，通過查閱文檔可以了解基本情況，如查閱信息科技部門的組織架構(gòu)圖就能夠了解IT人員的配備情況和組織架構(gòu)及分工，是否實(shí)現(xiàn)了不相容職責(zé)（如系統(tǒng)開發(fā)和系統(tǒng)維護(hù)）的職責(zé)分離。又如，查閱規(guī)章制度和流程文件，可以了解制度和流程的設(shè)計(jì)并據(jù)以判斷是否規(guī)范、完備。在檢查項(xiàng)目的測(cè)試階段，可以通過查閱管理流程中的有關(guān)記錄和文檔，了解和驗(yàn)證制定的控制流程是否有效執(zhí)行。比如，在檢查應(yīng)用系統(tǒng)變更是否經(jīng)過合理的授權(quán)、測(cè)試和審批時(shí)，通常查閱系統(tǒng)變更過程中的記錄文檔，檢查是否有業(yè)務(wù)部門和/或IT部門有關(guān)人員的簽字確認(rèn)作為有效授權(quán)的證據(jù)；查閱測(cè)試報(bào)告，確認(rèn)是否經(jīng)過了必要的測(cè)試，如編程人員的功能測(cè)試、業(yè)務(wù)人員的用戶確認(rèn)測(cè)試、技術(shù)部門的壓力測(cè)試等；查閱上線審批文檔，確認(rèn)程序上線經(jīng)過了相關(guān)管理層的審批。具體檢查的文檔和內(nèi)容，視實(shí)際管理流程而定。根據(jù)記錄和文檔的性質(zhì)、來(lái)源及其生成過程中的控制有效性，檢查記錄和文檔所提供的證據(jù)的可靠程度有所不同。比如，在檢查磁帶異地備份的控制時(shí)，查閱外部磁帶接收人員簽字的交接單比內(nèi)部人員準(zhǔn)備的磁帶交接記錄具有更高的可信度。4觀察觀察是指通過目測(cè)的方式，檢查實(shí)際操作流程或者實(shí)際情況是否和規(guī)章制度上規(guī)定的流程或要求一致，分析操作過程中是否還存在制度中未識(shí)別和定義的風(fēng)險(xiǎn)。比如，可以觀察被檢查方的應(yīng)急演練過程，檢查應(yīng)急演練過程是否按照應(yīng)急預(yù)案規(guī)定的過程有效執(zhí)行。另外，現(xiàn)場(chǎng)觀察通常是檢查計(jì)算機(jī)機(jī)房物理環(huán)境控制的有效手段。觀察可提供關(guān)于執(zhí)行某個(gè)過程或程序的證據(jù)，但其限制是僅能證明在觀察時(shí)被檢查方按照規(guī)章制度的規(guī)定執(zhí)行了該過程或程序，但不能保證在常態(tài)下規(guī)定的控制被有效的執(zhí)行。5測(cè)試測(cè)試是指檢查人員執(zhí)行一定的檢查步驟，驗(yàn)證被檢查機(jī)構(gòu)的內(nèi)部控制是否按照預(yù)定設(shè)計(jì)意圖有效地執(zhí)行。在確定要測(cè)試的控制點(diǎn)時(shí)，可以先通過穿行測(cè)試了解和確認(rèn)流程和關(guān)鍵控制點(diǎn)。穿行測(cè)試是指選擇一個(gè)覆蓋控制流程完整步驟的樣本從頭到尾進(jìn)行流程的跟蹤。根據(jù)流程中控制的實(shí)現(xiàn)方式（手工、自動(dòng)或兩者相結(jié)合），穿行測(cè)試以相應(yīng)的方式檢查文件存檔和信息流。其目標(biāo)是驗(yàn)證從訪談、查詢等其他途徑獲得的關(guān)于流程和控制的理解是否正確、控制的設(shè)計(jì)是否有效、是否已付諸實(shí)施。除了穿行文檔的實(shí)物流程外，還應(yīng)穿行自動(dòng)化過程的數(shù)據(jù)和交易信息流程（在系統(tǒng)或應(yīng)用程序?qū)哟危皇窃敿?xì)的源程序代碼層面的邏輯層次）。通過穿行測(cè)試驗(yàn)證控制點(diǎn)的設(shè)計(jì)有效后，可以通過執(zhí)行控制測(cè)試，即通過科學(xué)合理的方法選取能夠代表總體的一定樣本量，通過對(duì)該樣本的檢查，確認(rèn)控制在整個(gè)期間是否有效運(yùn)行?？刂茰y(cè)試包括諸如詢問、通過檢查因?qū)嵤┛刂贫a(chǎn)生的痕跡和實(shí)物證據(jù)來(lái)證實(shí)，及在某些情形下重新執(zhí)行控制等程序。通常，上述程序的某些組合對(duì)于提供所需的關(guān)于控制在整個(gè)期間均按設(shè)計(jì)意圖運(yùn)行的證據(jù)是必要的。以下列舉針對(duì)IT系統(tǒng)環(huán)境的常用測(cè)試方法：一、檢查配置。適用于通過系統(tǒng)參數(shù)配置實(shí)現(xiàn)對(duì)程序控制的情況。通?？梢酝ㄟ^現(xiàn)場(chǎng)屏幕觀察或通過查閱系統(tǒng)生成的報(bào)告來(lái)查看和確認(rèn)參數(shù)配置。比如，可以用管理員賬號(hào)進(jìn)入應(yīng)用系統(tǒng)察看密碼策略，或者察看某些交易參數(shù)如交易額度控制的配置。又如，操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、網(wǎng)絡(luò)上的一些安全配置，既可以通過現(xiàn)場(chǎng)屏幕察看，也可以通過執(zhí)行相應(yīng)的查詢命令腳本，獲取有關(guān)配置報(bào)告進(jìn)行檢查。二、重新執(zhí)行。指檢查人員獨(dú)立執(zhí)行程序或控制，在測(cè)試應(yīng)用程序控制方面經(jīng)常使用重新執(zhí)行的方法。如對(duì)于某些交易額度的系統(tǒng)控制，可以嘗試進(jìn)行一筆超額度的交易，察看系統(tǒng)是否會(huì)出現(xiàn)超出額度的錯(cuò)誤提示，或者要求授權(quán)的提示。又如，對(duì)于密碼長(zhǎng)度至少為6位的系統(tǒng)控制，可以嘗試使用一個(gè)長(zhǎng)度小于6位的密碼，察看系統(tǒng)是否會(huì)提示密碼長(zhǎng)度不足。重新執(zhí)行通?？梢院蜋z查配置結(jié)合使用。檢查配置可以確定現(xiàn)有的參數(shù)配置是否符合安全或者業(yè)務(wù)的要求，重新執(zhí)行可以確定該參數(shù)配置是否能夠提供有效的系統(tǒng)控制。由于重新執(zhí)行是檢查人員獨(dú)立執(zhí)行某程序或控制，因此，若計(jì)劃在信息系統(tǒng)生產(chǎn)環(huán)境中進(jìn)行，需要將檢查步驟充分與被檢查機(jī)構(gòu)溝通，進(jìn)行充分的事前評(píng)估，確信重新執(zhí)行的檢查步驟不會(huì)對(duì)系統(tǒng)生產(chǎn)環(huán)境或?qū)嶋H業(yè)務(wù)產(chǎn)生不利影響。如果不便在生產(chǎn)環(huán)境中進(jìn)行重新執(zhí)行的檢查步驟，可以在測(cè)試環(huán)境中進(jìn)行，但需要驗(yàn)證測(cè)試環(huán)境在擬測(cè)試的控制點(diǎn)上和生產(chǎn)環(huán)境具有一致性。三、檢查授權(quán)。確定系統(tǒng)是否通過參數(shù)配置或者程序內(nèi)置邏輯實(shí)現(xiàn)根據(jù)用戶的職責(zé)限制系統(tǒng)權(quán)限，并加強(qiáng)對(duì)不相容職責(zé)分工的控制。比如，銀行根據(jù)被授權(quán)人的不同級(jí)別設(shè)定相應(yīng)的授權(quán)額度實(shí)現(xiàn)交易額度控制，如普通柜員具有5萬(wàn)元以下的取款交易權(quán)限，超過5萬(wàn)元的取款交易需要會(huì)計(jì)主管進(jìn)行授權(quán)。在檢查該授權(quán)控制時(shí)，可以查看系統(tǒng)中對(duì)于不同級(jí)別柜員的交易額度配置是否符合業(yè)務(wù)流程控制的要求。對(duì)于某些不相容的職責(zé)，如貸款審核和貸款審批兩個(gè)崗位，可以先了解并檢查在系統(tǒng)中是否對(duì)這兩個(gè)崗位設(shè)計(jì)了相互獨(dú)立的角色或權(quán)限，獲取用戶權(quán)限列表，檢查貸款審核和貸款審批這兩個(gè)角色或者權(quán)限是否進(jìn)行了隔離，即一個(gè)用戶不能同時(shí)擁有貸款審核和貸款審批兩個(gè)角色或者權(quán)限。但如果系統(tǒng)本身已經(jīng)建立了應(yīng)用程序控制，禁止用戶審批自己審核的貸款，則可不需要再進(jìn)行專門的貸款審核和貸款審批職責(zé)分離檢查，但前提是要通過測(cè)試確認(rèn)上述應(yīng)用程序控制有效。四、重新計(jì)算。重新計(jì)算是指通過獨(dú)立于被檢查系統(tǒng)之外的其他方法來(lái)驗(yàn)證系統(tǒng)所生成的文檔、記錄、報(bào)告的數(shù)字準(zhǔn)確性。比如驗(yàn)證貸款管理系統(tǒng)或者銀行核心業(yè)務(wù)系統(tǒng)出具的貸款遷徙表是否準(zhǔn)確，可以從系統(tǒng)中導(dǎo)出貸款明細(xì)數(shù)據(jù)，驗(yàn)證其完整性后（通常與可以信賴的財(cái)務(wù)報(bào)表或者業(yè)務(wù)報(bào)表進(jìn)行核對(duì)），根據(jù)遷徙表的業(yè)務(wù)生成規(guī)則，利用獨(dú)立于被審系統(tǒng)的數(shù)據(jù)處理工具，重新計(jì)算生成一張遷徙表，和系統(tǒng)中產(chǎn)生的遷徙表進(jìn)行比對(duì)，驗(yàn)證兩者是否一致。重新計(jì)算也可以使用測(cè)試模擬數(shù)據(jù)進(jìn)行，須進(jìn)行詳細(xì)的數(shù)據(jù)設(shè)計(jì)和測(cè)試計(jì)劃，類似于系統(tǒng)功能測(cè)試過程中的計(jì)算功能驗(yàn)證。五、基準(zhǔn)法?；鶞?zhǔn)法是指將上次檢查期間的控制情況作為本次檢查中控制評(píng)估的參考基準(zhǔn)。通常，當(dāng)了解到某應(yīng)用程序控制相對(duì)穩(wěn)定，預(yù)計(jì)從本次檢查至下次檢查期間，不會(huì)發(fā)生重大變化時(shí)，可以考慮使用基準(zhǔn)法。在設(shè)定初始基準(zhǔn)時(shí)，應(yīng)通過各種適當(dāng)?shù)姆椒y(cè)試應(yīng)用程序控制在某一時(shí)點(diǎn)的有效性。此外還應(yīng)獲得支持應(yīng)用程序控制的程序或配置、程序或配置的位置、文件字節(jié)大小、最后一次變更日期等信息。在下次檢查期間，應(yīng)穿行測(cè)試應(yīng)用程序控制，同時(shí)應(yīng)確定相關(guān)程序自基準(zhǔn)日以來(lái)未發(fā)生變更。獲得程序未發(fā)生變更的合理保證可以來(lái)自與銀行人員討論及復(fù)核適當(dāng)可靠的報(bào)告（如：投入正式運(yùn)行的所有程序的編譯日期詳細(xì)清單）。6分析性復(fù)核分析性復(fù)核，是指檢查人員通過分析和比較信息之間的關(guān)系或計(jì)算相關(guān)的比率，以確定檢查重點(diǎn)、獲取檢查證據(jù)和支持檢查結(jié)論的一種檢查方法。在檢查準(zhǔn)備階段執(zhí)行分析性復(fù)核，可以了解被檢查事項(xiàng)的基本情況，確定檢查重點(diǎn)，幫助編制檢查計(jì)劃和檢查方案。在檢查實(shí)施階段執(zhí)行分析性復(fù)核以獲取檢查證據(jù)。在檢查完成階段執(zhí)行分析性復(fù)核，驗(yàn)證其它檢查程序所得結(jié)論的合理性，以保證檢查質(zhì)量。分析性復(fù)核主要包括如下步驟：（1）確定檢查項(xiàng)目是否適用分析性復(fù)核方法；（2）收集相關(guān)的信息，并分析數(shù)據(jù)之間存在的關(guān)系；（3）估計(jì)合理期望值；（4）通過計(jì)算或分析，將實(shí)際值與期望值進(jìn)行比較；（5）對(duì)差異進(jìn)行分析和了解，調(diào)查異常變動(dòng)因素。不能合理解釋的重大差異往往隱含著