前言：中文期刊網精心挑選了信息安全審計報告范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
信息安全審計報告范文1
隨著信息技術的飛速發展，數據庫的應用愈加廣泛，深入到各個領域，但隨之面來產生了數據的安全問題。各種應用系統的數據庫中大量數據的安全問題、敏感數據的防竊取和防篡改問題，越來越引起人們的高度重視。
近年來，數據庫被攻擊和數據竊取事件層出不窮，導致嚴重的經濟問題和社會問題。國內也出現企業級數據庫服務器多次被攻擊，給企業帶來了經濟和聲譽上的損失等等。越來越多的大型企業意識到了數據庫行為審計的重要性，現在采用獨立的數據庫審計產品己經成為業界的趨勢。
目前，南車戚墅堰機車有限公司的數據庫管理主要面臨以下挑戰: 管理風險:主要表現為人員的職責、流程有待完善，內部員工的日常操作有待規范，第二方維護人員的操作監控失效等等，離職員工的后門，致使安全事件發生時，無法追溯并定位真實的操作者。
技術風險:數據庫是一個龐大復雜的系統，安全漏洞如溢出、注入層出不窮，每一次的CPU都疲于奔命，面出于穩定性考慮，往往對補丁的跟進非常延后，目前的現實狀況是很難通過外部的任何網絡層安全設備來阻止應用層攻擊的威脅。
審計層面:現有的依賴于數據庫日志文件的審計方法，存在諸多的弊端，比如:數據庫審計功能的開啟會影響數據庫本身的性能;數據庫日志文件本身存在被篡改的風險、自己的日志審計也難以體現審計信息的有效性和權威性。此外，對于海量數據的挖掘和迅速定位也是任何審計系統必須面對和解決的核心問題之一?；跀祿彀踩蛯徲嫷闹匾砸约捌髽I精細化管理的要求，公司計劃使用第二方權威的數據庫審計產品，對重要數據庫服務器進行統一的審計和管理，滿足企業信息化建設的需求。
1數據庫審計系統應用目標
依據國資委相關根據及南車集團總部信息安全管理規范化的要求，結合南車戚墅堰機車有限公司實際的情況，在保證網絡及業務的訪問的安全性、連續性、穩定性的前提下，實現對指定數據庫審計并記錄所有的關鍵信息，保證數據庫有效安全地訪問。數據庫審計設備用于公司重要數據庫的安全審計，對重要數據的增刪改查操作的全方位審計記錄，同時也提供惡意攻擊數據庫的防護和監控手段，滿足上市公司企業內控的要求。
2數據庫審計系統部署
公司通過前期的詳細調研和評估，選擇了Imperva的數據庫審計系統，保護公司核心系統運行的SQL或Oracle等數據庫，對數據庫操作進行統一監控和防護，及時發現異常行為。
數據庫審計系統通過獨立的網絡硬件設備，不消耗數據庫服務器處理，內存或硬盤資源。單一的Secure Sphere網關足夠滿足多個數據庫服務器的要求。系統提供豐富的借口和強大的處理能力，同時可以提供所有業務功能。
數據庫安全監控網關，采用偵聽模式的部署方式，簡潔力-便，只需要通過交換機的端口鏡像，將需要保護的服務器的流量導入到數據庫安全保護網關引擎的業務接口即可，網關完全處于業務通道外，對現有系統影響最小。這種部署方式提供了完善的針對數據庫的審計功能，實現了對非法的訪問或違反策略的訪問進行實時的告警。
3數據庫審計系統的應用優勢
數據庫審計系統使用實時的Kernel方式來處理和分析SQL協議，盡可能減少硬盤的讀寫，采用將審計信息寫入CSV文件的方式提高記錄審計信息的速度，所有的流量都會經過檢測，面不用寫入到文件中。只有相應的安全時間和必要的審計信息才寫到硬盤上，這樣就極大地提高了處理效率。
數據庫審計系統提供的適合數據庫訪問的高性能和特性網關，通過捕獲、分析、審計實時的網絡流量，并且可以審計來回的雙向流量，發現高級權限操作和非法行為，提供實時告警和}實時阻攔，不影響數據庫服務器本身性能，不對現有業務造成任何影響。
數據庫審計系統可制定靈活的審計策略，可以給任意的數據庫設定任意的審計策略。系統提供了很多任意顆粒度的細化面靈活的審計規則，包括JO數據庫審計系統的安全策略和審計策略完全分開，可以使得設備靈活的對流量進行安全檢測，同時進行靈活的審計記錄。出于安全考慮，可以檢測所有的流量不管是不是被審計的，同時可以讓用戶選擇需要記錄下來哪些數據庫的訪問作為審計信息，這兩個過程完全是獨立和并行進行的，這樣就在保證了系統對數據庫進行全面的安全審查的同時，減少了需要審計和存儲的數據庫訪問信息。 數據庫審計系統提供了各種靈活的對常用軟件和應用，如SAP， Oracle EBS or PeopleSoft特制的報告模板，面細粒度的靈活的報告設計結構，可以隨意設置怎樣生成報告和展現數據，并利用各種圖形和列表方式展現數據。
4實際應用效果
戚墅堰公司的數據庫審計系統目前建立了OA. ERP. PDM.e-HR四個數據庫站點，應用了相應策略，建立了審計機制，并通過實時監測，定期出具審計報告。系統的投入應用，在公司內建立了一套數據應用系統的預警、危機防范和事故監控加固機制，使管理和訪問人員能對數據庫及相關服務器的各類操作進行完整記錄和管理并在事故發生后依據相關信息對事故的起源進行可靠、準確的和快速的分析和判斷，為數據庫及相關系統的正常運行提供加固保障，實現了重要數據庫操作都能有據可查、責任到人。
5下階段的研究目標和方向
(1)擴大數據庫審計應用的范圍
在現有的幾個列入數據庫審計系統的重要數據庫之外，逐步將公司其它各類應用系統數據庫納入到審計范圍內，使得數據庫審計范圍達到基本全覆蓋，得到充分地應用。
(2)加強監控和審計策略的制定
建立數據敏感表，加強對敏感數據訪問的審計力度，加強數據庫訪問的安全策略的設定，豐富各類安全事件的報警機制，形成更加詳盡全面的數據庫審計報告。
信息安全審計報告范文2
【關鍵詞】信息系統 網絡安全 評價指標
根據國家網絡和信息系統的安全性要求，結合多年的網絡管理經驗，從以下五個指標對信息系統網絡安全進行評價：
1.實體與環境安全
實體與環境指計算機設備及計算機網管人員工作的場所，這個場所內外的環境條件必須滿足計算機設備和網管人員的要求。對于各種災害、故障要采取充分的預防措施，萬一發生災害或故障，應能采取應急措施，將損失降到最低限度?？梢詮囊韵聨讉€方面來檢查：
（1）機房周圍環境
機房是否建在電力、水源充足、自然環境清潔、通訊、交通運輸方便的地方。
（2）機房周圍100m內有無危險建筑
危險建筑：指易燃、易爆、有害氣體等存在的場所，如加油站、煤氣站、煤氣管道等。
（3）有無監控系統
監控系統：指對系統運行的外圍環境、操作環境實施監控（視）的設施，及時發現異常，可根據使用目的不同配備以下監視設備，如紅外線傳感器、監視攝像機等設備。
（4）有無防火、防水措施
防火：指機房內安裝有火災自動報警系統，或有適用于計算機機房的滅火器材，如鹵代烷1211和1301自動消防系統或滅火器。
防水：指機房內無滲水、漏水現象，如機房上層有用水設施需加防水層，有暖氣裝置的機房沿機房地面周圍應設排水溝，應注意對暖氣管道定期檢查和維修。是否裝有漏水傳感器。
（5）機房有無環境測控設施（溫度、濕度和潔凈度），如溫濕度傳感器
溫度控制：指機房有空調設備，機房溫度保持在18—24攝氏度。
濕度控制：指相對濕度保持在40%—60%。
潔凈度控制：機房和設備應保持清潔、衛生，進出機房換鞋，機房門窗具有封閉性能。
（6）有無防雷措施（具有防雷裝置，接地良好）
計算機機房是否符合GB 157《建筑防雷設計規范》中的防雷措施。
在雷電頻繁區域，是否裝設有浪涌電壓吸收裝置。
（7）有無備用電源和自備發電機
（8）是否使用UPS
UPS：(Uninterruptible Power System)，即不間斷電源，是一種含有儲能裝置，以逆變器為主要組成部分的恒壓頻的不間斷電源。主要用于給單臺計算機、計算機網絡系統或其它電力電子設備提供不間斷的電力供應。
（9）是否有防靜電措施（采用防靜電地板，設備接地良好）
當采用地板下布線方式時，可鋪設防靜電活動地板。
當采用架空布線方式時，應采用靜電耗散材料作為鋪墊材料。
通信設備的靜電地板、終端操作臺地線應分別接到總地線母體匯流排上定期（如一周）對防靜電設施進行維護和檢驗。
（10）是否保證持續供電
設備是否采用雙路市電供電，提供冗余備份，并配有實時告警監控設備。是否與空調、照明用電分開，專線供電。
（11）是否有防盜措施
中心有人值班，出入口安裝防盜安全門，窗戶安裝金屬防護裝置，機房裝有無線電遙控防盜聯網設施。
2.組織管理與安全制度
（1）有無專門的信息安全組織機構和專職的信息安全人員
信息安全組織機構的成立與信息安全人員的任命必須有有關單位的正式文件。
（2）有無健全的信息安全管理的規章制度
是否有健全的規章制度，而且規章制度上墻；是否嚴格執行各項規章制度和操作規程，有無違章操作的情況。
（3）是否有信息安全人員的配備，調離有嚴格的管理制度
（4）設備與數據管理制度是否完備
設備實行包干管理負責制，每臺設備都應有專人負責保管（包括說明書及有關附件）；在使用設備前，應掌握操作規程，閱讀有關手冊，經培訓合格后方可進行相關操作；禁止在計算上運行與業務無關的程序，未經批準，不得變更操作系統和網絡設置，不得任意加裝設備。
（5）是否有登記建檔制度
登記建檔是做好網絡安全工作的前提，一些技術資料對網絡安全工作很重要，要注意收集和保存?？蓮囊韵聨讉€方面檢查相關文檔：
策略文檔（如，法規文件、指示）、系統文檔（如，系統用指南、系統管理員手冊、系統設計和需求文檔、采購文檔）、及安全相關的文檔（如以前的審計報告、風險評估報告、系統測試結果、系統安全計劃、安全策略）都可提供系統使用的或計劃的安全控制方面的信息。任務影響分析或資產重要性評估可提供有關系統和數據重要性及敏感性的信息。
設計資料，如網絡拓撲結構圖，綜合布線結構圖等。
安裝資料，包括安裝竣工及驗收的技術文件和資料。
設備升級維修記錄等。
（6）是否有緊急事故處理預案
為減少計算機系統故障的影響，盡快恢復系統，應制定故障的應急措施和恢復規程以及自然災害時的措施，制成手冊，以備參考。
（7）是否有完整的信息安全培訓計劃和培訓制度
開展網絡安全教育是為了使所有人員了解網絡安全的基本常識及網絡安全的重要性，要堅持經常的、多樣化的安全教育工作，廣播、圖片、標語、報告培訓班都是可以采用的宣傳教育方式。
（8）各類人員的安全職責是否明確，能否勝任網絡安全管理工作
應對網絡管理人員嚴格分工，使其職責分明，要對網絡管理人員定期進行安全培訓及考核，對關鍵崗位人員，應該持有相應的認證。
3.安全技術措施
（1）是否有災難恢復的技術對策
是否為網絡中斷和災難做好準備，以及如何快速反應將中斷和損失降至最小。災難恢復措施包括災難預防制度、災難演習制度及災難恢復制度。
（2）是否有系統安全審計功能
安全審計功能主要是監控來自網絡內部和外部的用戶活動，偵察系統中存在現有和潛在的威脅，對與安全有關的活動的相關信息進行識別，記錄，存儲和分析，安全審計系統往往對突發事件進行報警和響應。
（3）是否有系統操作日志
系統操作日志：指每天開、關機，設備運行狀況等文字記錄。
（4）是否有服務器備份措施
服務器數據備份是預防災難的必要手段。隨著對網絡應用的依賴性越來越強和網絡數據量的日益增加，企業對數據備份的要求也在不斷提高。許多數據密集型的網絡，重要數據往往存儲在多個網絡節點上，除了對中心服務器備份之外，還需要對其他服務器或工作站進行備份，有的甚至要對整個網絡進行數據備份，即全網備份。網絡備份需要專業備份軟件，Backup Exec就是其中的一種，是為中小企業提供的基于Windows平臺的網絡備份與恢復解決方案。
（5）是否有防黑客入侵設施
防黑客入侵設施主要是設置防火墻和入侵檢測等設施。
防火墻是為了監測并過濾所有內部網與外部網之間的信息交換，保護著內部網絡敏感的數據不被偷竊和破壞，并記錄內外通訊的有關狀態信息日志。防火墻有三種類型，包括過濾防火墻、型防火墻和狀態監測型防火墻。
入侵監測系統處于防火墻之后對網絡活動進行實時檢測。許多情況下，由于可以記錄和禁止網絡活動，所以入侵監測系統是防火墻的延續。它們可以和防火墻和路由器配合工作。它通過對計算機網絡或計算機系統中若干關鍵點收集信息并對其分析，從中發現網絡或系統中是否有違反安全策略的行為和被攻擊的跡象。
（6）是否有計算機病毒防范措施
計算機病毒防范措施：備有病毒預防及消除的軟、硬件產品，并能定期的升級。設置客戶端級防護、郵件服務器級防護和應用服務器級防護。
4.網絡與通信安全
（1）放置通信設施的場所是否設有醒目標志
從安全防范的角度考慮，安裝有關通信設備的地方不應加標志。配線架或MODEM柜應加鎖，禁止無關人員入內。
（2）重要通信線路及通信控制裝置是否均有備份
重要的通信線雙重化以及線路故障時采用DDN通信線或電話線ISDN等后備功能；從計算中心連出的重要通信線路應采用不同路徑備份方式。
（3）是否采取加密措施
數據加密技術是保護傳輸數據免受外部竊聽的最好辦法，其可以將數據變只有授權接收者才能還原并閱讀的編碼。其過程就是取得原始信息并用發送者和接收者都知道的一種特殊信息來制作編碼信息形成密文。
（4）系統運行狀態有無安全審計跟蹤措施
安全審計是模擬社會檢察機構在計算機系統中監視、記錄和控制用戶活動的一種機制。它是影響系統安全的訪問和訪問企圖留下線索，以便事后分析和追查，其目標是檢測和判定對系統的惡意攻擊和誤操作，對用戶的非法活動起到威懾作用，為系統提供進一步的安全可靠性。
（5）網絡與信息系統是否加有訪問控制措施
訪問控制措施：指能根據工作性質和級別高低，劃分系統用戶的訪問權限。對用戶進行分組管理，并且應該是針對安全性問題而考慮的分組。
5.軟件與信息安全
（1）操作系統及數據庫是否有訪問控制措施
把整個系統的用戶根據需要分為不同級別；不同級別的用戶享有對系統的文件、數據、網絡、進程等資源的權限，并進行記費管理；還可根據不同的用戶設置不同的安全策略，將超級用戶的權限細化（可分為系統管理員、安全管理員、數據庫管理員、用戶管理員等）。
（2）應用軟件是否有防破壞措施
對應用程序安全的考慮可以遵循如下的方向：對通用應用，如消息傳遞、文件保護、軟硬件交付等，制定通用技術要求；對于特定的復雜應用，可分解為通用應用，同時考慮互操作性問題。一般來講，應用程序的安全機制應該包括以下內容：身份標識與鑒別、數據保密性、數據完整性、數據可用性、配置管理等。
（3）對數據庫及系統狀態有無監控設施
可以使用系統安全檢測工具來定期掃描系統，查看系統是否存在各種各樣的漏洞。
（4）是否有用戶身份識別措施
身份認證與數字簽名策略，身份認證是證明某人或某物身份的過程，當用戶之間建立連接時，為了防止非法連接或被欺騙，就可實施身份確認，以確保只有合法身份的用戶才能與之建立連接。
（5）系統用戶信息是否采用備份
信息安全審計報告范文3
電子數據安全是建立在計算機網絡安全基礎上的一個子項安全系統，它既是計算機網絡安全概念的一部分，但又和計算機網絡安全緊密相連，從一定意義上講，計算機網絡安全其實質即是電子數據安全。國際標準化組織(ISO)對計算機網絡安全的定義為：“計算機系統有保護計算機系統的硬件、軟件、數據不被偶然或故意地泄露、更改和破壞?！睔W洲幾個國家共同提出的“信息技術安全評級準則”，從保密性、完整性和可用性來衡量計算機安全。對電子數據安全的衡量也可借鑒這三個方面的內容，保密性是指計算機系統能防止非法泄露電子數據；完整性是指計算機系統能防止非法修改和刪除電子數據；可用性是指計算機系統能防止非法獨占電子數據資源，當用戶需要使用計算機資源時能有資源可用。
二、電子數據安全的性質
電子數據安全包括了廣義安全和狹義安全。狹義安全僅僅是計算機系統對外部威脅的防范，而廣義的安全是計算機系統在保證電子數據不受破壞并在給定的時間和資源內提供保證質量和確定的服務。在電子數據運行在電子商務等以計算機系統作為一個組織業務目標實現的核心部分時，狹義安全固然重要，但需更多地考慮廣義的安全。在廣義安全中，安全問題涉及到更多的方面，安全問題的性質更為復雜。
(一)電子數據安全的多元性
在計算機網絡系統環境中，風險點和威脅點不是單一的，而存在多元性。這些威脅點包括物理安全、邏輯安全和安全管理三個主要方面。物理安全涉及到關鍵設施、設備的安全和硬件資產存放地點的安全等內容；邏輯安全涉及到訪問控制和電子數據完整性等方面；安全管理包括人員安全管理政策、組織安全管理政策等內容。電子數據安全出現問題可能是其中一個方面出現了漏洞，也可能是其中兩個或是全部出現互相聯系的安全事故。
(二)電子數據安全的動態性
由于信息技術在不斷地更新，電子數據安全問題就具有動態性。因為在今天無關緊要的地方，在明天就可能成為安全系統的隱患；相反，在今天出現問題的地方，在將來就可能已經解決。例如，線路劫持和竊聽的可能性會隨著加密層協議和密鑰技術的廣泛應用大大降低，而客戶機端由于B0這樣的黑客程序存在，同樣出現了安全需要。安全問題的動態性導致不可能存在一勞永逸的解決方案。
(三)電子數據安全的復雜性
安全的多元性使僅僅采用安全產品來防范難以奏效。例如不可能用一個防火墻將所有的安全問題擋在門外，因為黑客常常利用防火墻的隔離性，持續幾個月在防火墻外試探系統漏洞而未被發覺，并最終攻入系統。另外，攻擊者通常會從不同的方面和角度，例如對物理設施或協議、服務等邏輯方式對系統進行試探，可能繞過系統設置的某些安全措施，尋找到系統漏洞而攻入系統。它涉及到計算機和網絡的硬件、軟件知識，從最底層的計算機物理技術到程序設計內核，可以說無其不包，無所不在，因為攻擊行為可能并不是單個人的，而是掌握不同技術的不同人群在各個方向上展開的行動。同樣道理，在防范這些問題時，也只有掌握了各種入侵技術和手段，才能有效的將各種侵犯拒之門外，這樣就決定了電子數據安全的復雜性。
(四)電子數據安全的安全悖論
目前，在電子數據安全的實施中，通常主要采用的是安全產品。例如防火墻、加密狗、密鑰等，一個很自然的問題會被提出：安全產品本身的安全性是如何保證的?這個問題可以遞歸地問下去，這便是安全的悖論。安全產品放置點往往是系統結構的關鍵點，如果安全產品自身的安全性差，將會后患無窮。當然在實際中不可能無限層次地進行產品的安全保證，但一般至少需要兩層保證，即產品開發的安全保證和產品認證的安全保證。
(五)電子數據安全的適度性
由以上可以看出，電子數據不存在l00％的安全。首先由于安全的多元性和動態性，難以找到一個方法對安全問題實現百分之百的覆蓋；其次由于安全的復雜性，不可能在所有方面應付來自各個方面的威脅；再次，即使找到這樣的方法，一般從資源和成本考慮也不可能接受。目前，業界普遍遵循的概念是所謂的“適度安全準則”，即根據具體情況提出適度的安全目標并加以實現。
三、電子數據安全審計
電子數據安全審計是對每個用戶在計算機系統上的操作做一個完整的記錄，以備用戶違反安全規則的事件發生后，有效地追查責任。電子數據安全審計過程的實現可分成三步：第一步，收集審計事件，產生審記記錄；第二步，根據記錄進行安全違反分析；第三步，采取處理措施。
電子數據安全審計工作是保障計算機信息安全的重要手段。凡是用戶在計算機系統上的活動、上機下機時間，與計算機信息系統內敏感的數據、資源、文本等安全有關的事件，可隨時記錄在日志文件中，便于發現、調查、分析及事后追查責任，還可以為加強管理措施提供依據。
（一）審計技術
電子數據安全審計技術可分三種：了解系統，驗證處理和處理結果的驗證。
1．了解系統技術
審計人員通過查閱各種文件如程序表、控制流程等來審計。
2．驗證處理技術
這是保證事務能正確執行，控制能在該系統中起作用。該技術一般分為實際測試和性能測試，實現方法主要有：
（1）事務選擇
審計人員根據制訂的審計標準，可以選擇事務的樣板來仔細分析。樣板可以是隨機的，選擇軟件可以掃描一批輸入事務，也可以由操作系統的事務管理部件引用。
（2）測試數據
這種技術是程序測試的擴展，審計人員通過系統動作準備處理的事務。通過某些獨立的方法，可以預見正確的結果，并與實際結果相比較。用此方法，審計人員必須通過程序檢驗被處理的測試數據。另外，還有綜合測試、事務標志、跟蹤和映射等方法。
（3）并行仿真。審計人員要通過一應用程序來仿真操作系統的主要功能。當給出實際的和仿真的系統相同數據后，來比較它們的結果。仿真代價較高，借助特定的高級語音可使仿真類似于實際的應用。
（4）驗證處理結果技術
這種技術，審計人員把重點放在數據上，而不是對數據的處理上。這里主要考慮兩個問題：
一是如何選擇和選取數據。將審計數據收集技術插入應用程序審計模塊（此模塊根據指定的標準收集數據，監視意外事件）；擴展記錄技術為事務（包括面向應用的工具）建立全部的審計跟蹤；借用于日志恢復的備份庫（如當審計跟蹤時，用兩個可比較的備份去檢驗賬目是否相同）；通過審計庫的記錄抽取設施（它允許結合屬性值隨機選擇文件記錄并放在工作文件中，以備以后分析），利用數據庫管理系統的查詢設施抽取用戶數據。
二是從數據中尋找什么？一旦抽取數據后，審計人員可以檢查控制信息（含檢驗控制總數、故障總數和其他控制信息）；檢查語義完整性約束；檢查與無關源點的數據。
（二）審計范圍
在系統中，審計通常作為一個相對獨立的子系統來實現。審計范圍包括操作系統和各種應用程序。
操作系統審計子系統的主要目標是檢測和判定對系統的滲透及識別誤操作。其基本功能為：審計對象（如用戶、文件操作、操作命令等）的選擇；審計文件的定義與自動轉換；文件系統完整性的定時檢測；審計信息的格式和輸出媒體；逐出系統、報警閥值的設置與選擇；審計日態記錄及其數據的安全保護等。
應用程序審計子系統的重點是針對應用程序的某些操作作為審計對象進行監視和實時記錄并據記錄結果判斷此應用程序是否被修改和安全控制，是否在發揮正確作用；判斷程序和數據是否完整；依靠使用者身份、口令驗證終端保護等辦法控制應用程序的運行。
（三）審計跟蹤
通常審計跟蹤與日志恢復可結合起來使用，但在概念上它們之間是有區別的。主要區別是日志恢復通常不記錄讀操作；但根據需要，日記恢復處理可以很容易地為審計跟蹤提供審計信息。如果將審計功能與告警功能結合起來，就可以在違反安全規則的事件發生時，或在威脅安全的重要操作進行時，及時向安檢員發出告警信息，以便迅速采取相應對策，避免損失擴大。審計記錄應包括以下信息：事件發生的時間和地點；引發事件的用戶；事件的類型；事件成功與否。
審計跟蹤的特點是：對被審計的系統是透明的；支持所有的應用；允許構造事件實際順序；可以有選擇地、動態地開始或停止記錄；記錄的事件一般應包括以下內容：被審訊的進程、時間、日期、數據庫的操作、事務類型、用戶名、終端號等；可以對單個事件的記錄進行指定。
按照訪問控制類型，審計跟蹤描述一個特定的執行請求，然而，數據庫不限制審計跟蹤的請求。獨立的審計跟蹤更保密，因為審計人員可以限制時間，但代價比較昂貴。
（四）審計的流程
電子數據安全審計工作的流程是：收集來自內核和核外的事件，根據相應的審計條件，判斷是否是審計事件。對審計事件的內容按日志的模式記錄到審計日志中。當審計事件滿足報警閥的報警值時，則向審計人員發送報警信息并記錄其內容。當事件在一定時間內連續發生，滿足逐出系統閥值，則將引起該事件的用戶逐出系統并記錄其內容。
常用的報警類型有：用于實時報告用戶試探進入系統的登錄失敗報警以及用于實時報告系統中病毒活動情況的病毒報警等。
信息安全審計報告范文4
近年來，應用軟件隨著信息系統的發展，功能隨之增大，相應的，程序源代碼的規模也加大了，容易被利用的安全漏洞和代碼后門也不再局限于以往，這就使得用傳統軟件測試方法來檢測源代碼中的安全漏洞非常困難。所以從源代碼審計的角度，對源代碼進行檢測和分析，從而從根本上保護軟件和信息系統的安全，杜絕了代碼后門又能夠避免潛在的漏洞安全威脅，進一步保障了信息安全。
在對應用軟件和信息系統進行安全評估的時候，很多問題都是出現在軟件的編碼階段，如SQL注入、XML實體攻擊、XSS跨站腳本攻擊等。這些問題都需要通過修改軟件的源代碼來解決。因此，對于應用軟件和信息系統的安全問題必須從底層的源代碼抓起，在其上做到最佳防范。
本文闡述了源代碼審計原則，概述了源代碼審計的方法和技術，對比了源代碼審計工具，表明了源代碼審計的價值和意義，最后對源代碼審計技術的發展趨勢做出預估。
2源代碼審計原則
代碼審計的過程如下，首先閱讀目標系統（被審計）源代碼，然后檢査保證代碼正確安全的控制是否設置在了關鍵的邏輯流位置上。它的主要目的是使得安全的開發技術被研發人員和編碼人員嚴格遵循。通常來講，如果被審計的目標系統經過一次完整的源代碼安全審計之后，能夠規避大部分的應用程序的源代碼漏洞，提高模擬滲透測試的精度。
2.1所有的輸入均不可信
在源代碼程序中有很多的輸入，包括系統內外部，由于用戶的輸入被應用程序處理，然后分析，進而展示，那每一個有可能被惡意利用或者造成代碼紕漏的輸入都是可疑的。據統計，在漏洞里面，由輸入數據引起的安全問題高達90%，所以，對于程序代碼中數據輸入的格式與內容進行嚴格限定，能起到一定的安全控制作用。
2.2遵循安全編碼規范
CERT是美國軟件工程研究所（SEI)的計算機安全應急響應組，它編制了多種語言的安全編碼規范，其中，Java安全編碼標準已經于2011年9月14曰出版發行（Addison-Wesley出版社）。該安全編碼標準著重于Java程序中最容易出錯、產生代碼安全問題的環節，詳細制定了編碼層保障安全的規則，同時也提供了規避產生類似錯誤的最佳操作指南。
RobertC.Seacord(CERT標準主編）提道，CERTJava安全編碼標準是作為SEI安全編碼項目的一部分。之前，CERT安全編碼團隊已經編制過很多的安全編碼規則或標準，其中最著名的是CERTC安全編碼標準(Addison-Wesley出版社2005)和CERTC++安全編碼標準（Addison-Wesley出版社2008)。它們分別提供了C和C++編程語言中對于安全編碼的指導方針和最佳操作指南，其目的是避免不安全的編碼操作和可能會被利用的代碼后門導致的潛在安全風險。
遵循安全的編碼規范在代碼開發階段很有必要，軟件系統因為編碼規范、安全，會更健壯，抵抗惡意攻擊的能力也越強。源代碼審計制定了相應技術的源代碼安全規范，并在審査的過程中檢査應用程序是否嚴格遵從現有的安全編碼規范。若是沒有遵循安全編碼規范，但無造成漏洞風險，這樣的源代碼仍然存在安全風險，需要在最后的審計報告中明確指出。
2.3漏洞與安全編碼內在關系
現有的代碼安全審計主要是査找傳統或者已知代碼的安全漏洞，這些安全漏洞主要是一些國際權威組織比如OWASP、CWE、CVE、SANS公布的代碼安全漏洞，這些漏洞都是基于不同的安全漏洞模型來査找的，主要使用了數據流、控制流等技術査找惡意數據的入口點和惡意數據可能被利用的點(出口點），利用人工分析從入口點到出口點是否有風險來判斷問題是否真實存在，并且所有的入口點及出口點都是基于開發源代碼語言的API來査找的，與本身代碼的邏輯無關。
CWE是一個社區開發的常見軟件弱點的正式列表。它是一種用來描述軟件安全弱點的通用語言，一個安全軟件用來定位漏洞的標準量尺，以及一個用于弱點識別、緩解和預防所使用的基線標準。CWE作為統一的標準，它無論在廣度還是深度方面統一了這一領域最有價值的內容，平衡了學術界、商業界以及政府在思維和認識方面的不同。CWE的目標是促進代碼審計行業的標準化和成熟化，同時大力推進各類組織對他們采購或開發的軟件質量進行審査的能力。
計算機安全應急響應組（ComputerEmergencyResponseTeam)是專門處理計算機網絡安全問題的組織。在1988年莫里斯蠕蟲橫掃互聯網之后，在美國聯邦政府資助下，卡耐基梅隆成立了第一個CERT組織。主要對常用的編程語言制定相應的安全編碼規范，例如C，C++和Java等等。
CWE和CERT安全編碼標準獨立執行各自功能但是又相互支持著，簡單來說，CWE提供了一個漏洞弱點的綜合庫，而CERT安全編碼規范負責識別不安全的編碼結構，如果在代碼里面出現該結構，就可能暴露軟件的弱點或漏洞。因為并不是CWE里面所有的弱點都能夠在任意一種安全編碼規范里面得到呈現，因為每一種語言不可能呈現每一種漏洞，而且CWE還包括一些高層設計問題。也并非所有的CERT安全編碼規則都能夠直接映射cwe里面的漏洞，因為一些編碼錯誤會以各種各樣的方式呈現處理，這些方式可能不直接關聯CWE里面給定的漏洞或弱點?？偠灾@兩種工具在軟件系統評估安全的過程中都是必需的。
2.4反向思考
在源代碼審計的過程中，需要審計人員站在一個惡意用戶或者攻擊者的角度上，保持思維的靈活連續，從各個方面對代碼的所有問題進行排査，對于異常問題的檢査，要考慮到其波及范圍和漏洞影響。
3源代碼審計方法和技術概述
3.1代碼安全審計方法
代碼安全審計的實施階段，有一系列常用的方法：
(1)自上而下
由于代碼審計存在于應用程序的生命周期之內，故自上而下的審計方法是當應用程序收到了用戶請求，對其進行邏輯上的處理和操作，使得用戶能夠得到最終的返回結果m。自上而下代碼審計法跟蹤了所有的外來輸入（包括用戶輸入或環境變量輸入），凡是有可能被用戶惡意控制的變量和容易對內部變量造成污染的函數或者方法都被嚴格跟蹤。一旦參數被接受，就會順著代碼邏輯被遍歷跟蹤，一直到找到可能有安全威脅的代碼或者直到所有的輸入都被過濾或限定為安全為止。
(2)自下而上
該方法恰恰與自上而下相反，根據敏感函數的關鍵詞字典，從應用點回溯器接受參數，一步一步向上跟蹤，直到排除嫌疑或發現安全隱患為止。此方法需要審計人員對這些敏感函數的內部機理和使用方法非常了解，這樣才能判斷某些非法參數的輸入是不會有安全風險。
(3)邏輯路徑覆蓋
邏輯路徑覆蓋是由生命周期和代碼的邏輯上出發，人工或者使用工具來遍歷代碼邏輯上所有可能形成的路徑，發現這些路徑上可能存在的安全隱患。它是一種基于代碼邏輯的能夠發現難以在黑盒或灰盒測試中檢査出來的漏洞的一種遍歷測試方式。雖然能夠幫助研發人員在編碼階段檢測到易引發的邏輯上的危險漏洞，但是投入到邏輯覆蓋路徑上的人力成本很高，審計時間較長，產出投入比低。而通常情況下，代碼邏輯安全問題通過一般常規的測試，顯現出來的安全問題比較少，或者有部分隱蔽問題，難以被代碼審計人員或工具發現。
3.2代碼安全審計技術
源代碼安全分析其實早在1976年就有研究了，當時Colorado大學的LloydD.Fosdick和LeonJ.Osterweil曾在jCMComputing<SUrvey5上發表了著名白勺FlowAnalysisinSoftwareReliability，文章中提到了常用的代碼審計技術：邊界檢測、數據分類驗證、狀態機系統、邊界檢測、數據類型驗證、控制流分析、數據流分析、狀態機系統等。
目前，軟件源代碼的安全性分析方法主要可分為靜態分析與動態分析，國內外一些研究者在這一方面做了不少研究，提出一些不同的軟件源代碼的安全性分析實現方法，并設計了相關的應用系統。國際標準組織也提供了一系列的安全編碼標準。
2007年JamesW.Moore和RobertC.Seacord在SeacordSecureCodingStandards一文中提到，由于編碼漏洞導致的安全問題不斷上升，ISO國際標準組織編寫了一系列的安全編碼以及安全使用編程語言避免漏洞的標準，如ISO/IECTS17961-2013Informationtechnology.Programminglanguages,theirenvironmentsandsystemsoftwareinterfaces.Csecurecodingrules;ISO/IEC9899:2011-Informationtechnology-Programminglanguages-C等。2010年開放式Web應用程序安全項目(OWASP)的安全編碼指南里面雖不涉及編碼安全規范的實施具體細節，但是提供了將編碼規范轉換成編碼安全的具體要求，創建了安全編碼標準并建立了一個可重用的對象庫文件。
2013年RobertC.Seacord等人編寫了《C和C++安全編碼》，結合國際標準C11和C++11及其最新發展，詳細地闡述了C/C++語言及其相關庫固有的安全問題和陷阱，系統性地總結了導致軟件漏洞的各種常見編碼錯誤，并給出了應對錯誤的解決方案[12]。同時也在SecureCodingRules:Past,Present,andFuture一文中對其源代碼審計安全規則發展過程進行總結，并對未來源代碼安全審計規則做出預測。
2013年葉亮等人提出了基于安全規則的源代碼分析方法。2013年袁兵等人針對應用軟件的惡意后門進行了代碼審計，取得非常不錯的效果。2015年周誠等人提出了一種檢測源代碼安全漏洞的代碼審査方法，該方法結合編碼規則，高效檢測出源代碼的安全漏洞。
雖然動態方法對代碼的規模沒有限制，可以對大型程序進行檢測，但不足之處是檢測的效果嚴重依賴輸入方法，只有當特定的輸入使代碼執行到危險點時，漏洞才會被發現，所以這種方法漏報率較高?，F在代碼審計的主流技術是采用基于安全規則的源代碼靜態分析，包括數據流控制流分析、詞法語法分析、基于抽象語法樹的語義分析、規則檢査分析等。它可以由人工進行，充分發揮人的邏輯思維優勢，也可以借助軟件工具自動進行。
下面介紹靜態分析源代碼的主要技術：
(1)數據流控制流分析
在靜態環境下（即被測程序不運行條件下），從程序源代碼中收集語義信息，檢測使用操作中和對變量的定義中是否存在安全問題。數據流控制流分析主要是針對源程序代碼上面的所有可能的邏輯路徑和路徑上所有變量的操作序列。
該方法有一定的缺陷，如信息量過大，容易造成組合爆炸等，且主要針對的是檢測賦值引用異常及內存錯誤等，故往往作為其他檢測方法的輔助方法使用。
(2)詞法語法分析
在基本的語法詞法分析上還采用了與CWE、CVE等安全漏洞庫匹配的方法，這樣能夠檢測出源
代碼中的不安全函數或漏洞個數和位置，該方法十分簡單高效。但是由于缺少源代碼的語義信息等，加上漏洞庫里面已發現的漏洞數量是有限的，那些未公開的漏洞無法匹配檢測，這樣會提升誤報率，降低了檢測精度，所以往往是在代碼審計的前期工作里面使用詞法語法分析方法。
(3)基于抽象語法樹的語義分析
源代碼審計中的抽象語法樹是通過掃描程序源代碼來構建的，在去掉了冗余的語法結構后提取出源代碼中的主要信息。通過抽象語法樹來分析源代碼的語義信息能夠清晰地掌握源代碼中的全局信息和模塊信息甚至局部信息。這樣使得隱藏于源代碼中的危險漏洞被檢測出來的概率很高，但是由于大多數安全漏洞比較復雜而且還存在很多0day漏洞，所以此方法的檢測能力和準確率還有待提高。
(4)規則檢査分析
規則檢査分析針對的是源代碼中存在的一些通用漏洞的規則，首先它采用了比較特定的語法來描述漏洞規則，然后用規則解析器來分析，將其分析結果轉換成為系統能夠識別的內部表達，同時采用圖匹配和代碼匹配來完成源代碼的漏洞檢測。在流程上，該方法比較完善，對于與安全編碼規則相矛盾的源代碼是很容易檢測出來的。但是由于漏洞的特征不只是安全編碼程序中所遵循的規則，所以只能夠在已知的漏洞庫中達到較好的檢測效果，而對于0day漏洞，效果欠佳。
4源代碼審計工具
源代碼安全性的分析離不開自動化的代碼審計工具和與之結合的人工分析方法，源代碼自動化審計工具先完成代碼的漏洞掃描后，再由人工對漏洞進行分析、整改和確認。
4.1工具簡介
源代碼分析技術隨著計算機語言的不斷演進而曰趨完善。在不同的信息安全細分領域出現很多好用的源代碼分析產品，如KlocworkInsight、Coverity、Parasoft和RationalSoftwareAnalyzer等公司的產品，靜態分析工具有Fortify公司的FortifySCA、Armoire公司的CodeSecure和SecurityInnovation公司的CheckmarxSuite等。
以下簡單介紹幾款主流源代碼審計工具：
(1)FortifySCA
它是一款用于測試軟件源代碼安全的工具，其內置了五大分析引擎：配置流、結構、控制流、數據流、語義。對源代碼進行靜態分析的過程中，按其特有的安全漏洞規則集進行査找和匹配，從而掃描出來源代碼中存在的安全漏洞，并附有整理漏洞的報告。掃描的結果中包含了詳細的漏洞信息和相關的安全知識說明，最后還提供了修復意見。
(2)FindBugs
它主要是針對采用Java語言來編寫的源代碼進行安全檢査，檢査Java里面的類或JAR文件。它通過對比字節碼和一組缺陷模式來發現代碼中可能存在的問題。它能夠發現：多線程競爭、代碼是否符合安全編碼規范、性能等問題。
(3)PMD
PMD作為一種掃描效率高，功能強大的開源分析Java代碼的工具，能夠在不運行Java程序的情況下通過靜態分析獲知代碼錯誤。而且PMD也附帶了很多安全編碼規則，通過匹配這些規則能夠發現Java源代碼中的許多問題。如潛在的bug、未使用的代碼、資源關閉、復雜的表達式和重復的代碼等。用戶還可以自己定義規則來檢測Java代碼是否符合這些特定的編碼規范。
(4)CheckStyle
CheckStyle主要是對代碼規范進行檢査，它屬于SourceForge下的一個項目，是一個幫助編程人員來遵循某些安全編碼規范的工具，實現了自動化代碼規范檢査過程。但是，它缺少增強代碼質量和修復代碼的功能。
4.2工具對比
具體內容見表1。
5源代碼審計的價值與意義
源代碼審計工作具有重要的應用價值，它一方面能夠節約后期的安全投入，從源頭上消除安全隱患，從根源上控制系統安全風險，有效減少了后期的安全評估、加固、維修補救等工作；另一方面，能夠很大程度上降低系統安全風險、解決代碼安全隱患，從核心層面上來加強了整個安全保障體系的防護。
源代碼審計工作意義在于提高應用軟件源代碼的質量、規避應用系統潛在后門帶來的危害、防止信息系統的重要數據遭到泄露的同時又提升系統架構本身的安全性。避免被動防御處境，主動安全防御，明顯節約了企業安全資金的投入，顯著地提高了安全管理工作效率等。
信息安全審計報告范文5
關鍵詞：網絡 會計信息系統 安全
網絡會計信息系統給財務管理帶來新的理念，系統的使用者突破時空限制，可以隨時隨地通過網絡訪問會計信息系統，了解組織的業務狀況和財務狀況。網絡環境為信息資源共享提供了極大的便利，同時也帶來巨大的安全隱患。對于會計信息系統來講，面臨著越來越多的安全問題，如果不能很好地解決該問題，必將阻礙會計信息化發展進程。
一、網絡會計信息系統面臨的安全問題
(一)會計系統存在被攻擊、竊取的風險 信息系統最容易受到的是病毒與黑客攻擊，都會對計算機或信息系統構成安全威脅目前，金融、零售等信息化高度集中的行業很容易遭受到黑客攻擊；政府、軍隊、教育科研等機構也成為黑客攻擊的重要對象；會計信息系統，由于涉及到機構的核心機密，更容易受到攻擊。據瑞星估算，僅2010年，針對網絡的攻擊就高達10萬次以上，主要來源于美、日、韓等國。一般來講，經濟發達地區受攻擊的比例會更高。網絡環境下，財務信息將面臨被竊取的風險。一方面，許多機構沒有成熟的安全管理機制，甚至僅依靠瀏覽器或Web服務器中的SSL安全協議；另一方面，目前的操作系統主要由國外研制，企業很難判斷其中是否存在后門或缺陷，極可能導致財務信息外泄。此外，大型企業的會計信息系統數據主要集中在服務器上，如果服務器管理人員不小心泄露密碼，甚至內外勾結，則所有財務信息都可能被竊取。
(二)會計數據真實、完整、可靠性面臨考驗 會計數據有可能會失真，主要有數據篡改和數據偽造兩種形式。數據篡改是指入侵者從網上將信息截獲，按照數據的格式和規律，修改數據信息，然后發送給目的地，數據篡改破壞了數據的完整性。數據偽造則是指入侵者偽裝成“商家”或“合法用戶”，給對方發送郵件、訂單等虛假信息，從而竊取個人密碼或商業信息。會計數據一旦失真，企業將面臨巨大的安全隱患。網絡環境下，會計檔案的存儲介質不再是以前的紙質文檔，而變成了電子數據。電子數據存儲，極大提高了存儲效率，也為管理數據帶了便利，但有其天然缺陷。當存儲介質遇到劇烈振動，或突然遇到停電、火災等情況時，很可能導致存儲的數據失效。當被非法修改時，有可能沒有任何痕跡；此外，當網絡會計信息系統升級的時候，可能不兼容以前的版本，或者數據格式、數據接口等發生了變化，使得以前的信息不能進入當前的會計信息系統，都有可能導致會計檔案失效。信息化會計與傳統會計存在很大差別，很多企業由于未能及時建立與信息化方式匹配的內部控制機制，容易導致內部控制失效。如操作人員錄入了不正確的字段、使用了無效的代碼、或從財務的紙質憑證轉錄了數據等，都可能影響數據質量，如果缺乏相應的監督檢查機制很可能導致內部控制失效。此外，由于網絡環境下的會計信息系統數據集中存放于數據庫，信息交叉程度提高，依靠帳薄及憑證相互核對錯誤的機制可能也會失效，傳統會計中某些職工分權、相互牽制和約束的機制可能失去作用，信息管理人員或專業人員舞弊會給企業帶來不可估量的損失，也是會計信息化面臨的破壞力最大的隱患。如有些數據庫管理員通過篡改數據獲取不當利益，網絡會計信息系統可能連痕跡都沒留下。
二、網絡會計信息系統安全問題原因分析
(一)網絡系統的開放性和共享性網絡系統的重要特點是開放性和共享性，使網上信息安全存在先天不足，可能會帶來一些安全問題。一方面，由于互聯網的開放性，網絡上所有用戶均可共享信息資源，給一些非法訪問者提供了可趁之機。另一方面，互聯網上的數據往往是沒有加密的，這使得用戶密碼及其他重要數據可能在傳輸過程中被監聽和竊取。此外，在諸多信息系統中實行了分級權限管理，某些部門的操作人員被賦予了太高的權限，可以接觸到整個企業的財務會計系統，增加了財務信息被盜的風險。
(二)硬件設備配置不合理網絡信息系統中硬件的配置非常重要，尤其是網絡服務器及路由器等設備，對網絡安全有很大的影響。如果選擇了不合理的服務器型號，不僅網絡可能不順暢，網絡的穩定性及擴充性也會受到影響；如果選用的路由器緩沖區過小，則在網絡延時過程中，可能會流失數據包；如果路由器緩沖區過大，則可能會增加網絡延時，這些都會導致網絡不安全。
(三)軟件系統不合理主要包括兩個方面：一是軟件系統規劃不合理，開發的系統本身存在缺陷；二是軟件開發工具選擇不合理。(1)軟件系統的不合理規劃與開發。在規劃過程中，系統分析人員沒有與會計工作人員及相關用戶充分溝通，從而系統的需求分析可能并不能完全反映真實要求?；谶@種規劃開發的會計信息系統，可能會引起一系列不安全的后果。另外，用戶自行開發軟件數據常常無法與購買的財務軟件數據交流，從而造成資源浪費。(2)軟件開發工具的不合理使用。以數據庫工具為例，SQL server、Oracle、Sybase等主要適用于大型系統；Acess、FoxPro等則主要適用于小型系統。值得注意的是，各類數據庫工具的安全機制有所不同，所以必須根據系統的規模大小及安全性要求合理選擇數據庫工具。
(四)制度建設不健全網絡環境中，會計系統往往要和業務系統，如采購系統、銷售系統、存貨管理系統等相關聯，實現信息共享，提高會計系統的自動化處理程度。為了讓信息安全共享，必須建立內部控制制度，分配角色并賦予權限。此外，股東、銀行、稅務等機構也可能通過網絡與企業的財務會計系統連接，也需要建立相應的內部控制制度。
(五)人員風險人員風險主要分為勝任能力風險及道德風險。勝任能力要求從業人員既要熟練掌握國家會計準則及會計制度，掌握相應的信息技術，而且要具備較強的學習能力。道德風險，則要求財務人員面對誘惑時，能夠堅守職業操守。
三、網絡會計信息系統安全管理的策略
(一)安全管理的目標對于會計信息系統來說，信息安全主要是要保證信息的保密性、完整性、可用性、真實性、可控制性、可審查性、不可抵賴性等。數據保密性是指數據在網絡上傳輸的時候不被非法竊取，或者雖然被竊取但竊取者不能破解其真正意義；數據完整性是指數據的精確性和可靠性，指數據在傳輸過程中不被增加、刪除、修改內容；可用性是指對于合法用戶的正常使用，要保證能夠實現而不被拒絕；真實性是指鑒別數據來源，消除非法數據源，確保進入系統的數據是真實可靠的；可控制性是指數據的輸入、輸出、處理過程是可以控制的；可審查性是指對數據的任何訪問與操作(增加、刪除、修改)均被紀錄下來，便于“信息”追蹤或審查；不可抵賴性是指隨所有用戶的操作進行紀錄并存檔，防止用戶否認已作過的操作。
(二)安全管理的基本思想為了保證會計信息系統的安全，在規劃系統時候要全面考慮，按照“全網安全”的思想，實現多層面控制。(圖1)是基于該思想的安全體系框架?？梢钥闯?，該架構主要由三部分組成：技術體系、組織體系、管理體系。(1)技術體系：技術體系安全架構主要是為系統安全提供技術保障，包括安全技術和技術管理這
兩大部分。安全技術又分為網絡環境安全及信息環境安全兩部分。網絡環境安全主要指物理安全和環境安全。為防范物理安全問題而導致會計信息安全隱患，要將計算機及相關設施受到物理保護，免于被破壞、丟失等；信息環境安全主要是指系統安全和信息安全。技術管理又分為三大部分：符合ISO標準的技術管理，從安全服務、體系規范、實施細則、安全評估幾個側面分別對會計信息系統安全進行管理；審計監測方面進行技術管理，會計信息系統實時的狀態監測、非法入侵時的監控；實施策略方面進行技術管理，財務系統的安全策略、密鑰管理。(2)組織體系：組織體系主要為系統安全提供組織人員保障。從機構設置、崗位設置、人事設置三方面進行構建。(3)管理體系：管理體系主要為系統安全提供制度保障。從國家法律立法、企業規章制度、企業業務培訓三方面對系統安全給予保障。
(三)安全管理的整體解決方案基于(圖1)的“全網安全”思想，可以從如下方面對網絡會計系統進行整體安全保護：平臺安全、硬件安全、軟件安全、安全管理制度、人力資源素質。(圖2)是基于該思想的網絡會計信息系統安全問題整體解決方案。(1)平臺安全。保證網絡辦公平臺安全，是網絡會計系統中最重要的部分。本方案中采用三種技術保證平臺安全：防火墻、虛擬專用網(VPN)、入侵檢測技術。防火墻充當屏障作用，合理使用防火墻能保護企業會計信息安全有效。主要作用在網絡入口處檢查網絡通訊，過濾不安全服務，防止非法用戶進入內部網絡；限定用戶訪問特殊網站；對內外部網絡進行有效隔離。所有外部網絡的訪問請求都要通過防火墻檢查，使得企業內部網的會計信息系統相當安全。當然，企業會計信息系統應保持相對封閉狀態，不能連接與業務無關的終端，更不能連接互聯網，僅能與業務相關部門實現資源共享。VPN(Virtual Private Netwrok)是利用公共網絡資源形成企業專用網，它融合了防火墻和Ipsec隧道加密技術的優點，可以為整個集團內部通信提供安全的信息傳輸通道，還可以簡化網絡管理、節約成本。VPN有隧道技術、加解密技術、密鑰管理技術、使用者與設備身份認證技術四項核心技術，為網絡安全提供了一定保障。入侵檢測是指通過對行為、審計數據、安全日志或其它網絡上可獲得的信息進行操作，檢測到對系統的闖入或闖入的企圖。入侵檢測技術是為了彌補防火墻的不足，主動檢測來自系統外部的入侵、監視防火墻內部的異常行為。實時監控是會計信息系統必備的措施。通過建立操作日志，對日常會計活動中進行全程跟蹤，對大額的、異常的經濟業務單獨列示，詳細反映，及時提醒。(2)硬件安全。硬件系統安全，會計信息系統的正常運行必須要有良好的硬件設備，從硬件系統的配置和管理兩方面提出保證。配置方面，選用合適的輸入輸出設備、調制解調器(MODEM)、路由器等互聯設備、及適當的網絡服務器。同時，硬件設備必須有過硬的質量和性能，并且數據安裝雙硬盤，數據雙重備份；管理方面，制定機房相關設備的定期檢查制度，做好機房防火、防塵、防水、防盜及恒溫等保障措施，使用UPS電源(防止停電導致信息中斷)，重要數據遠程備份，安裝機房報警系統等。(3)軟件安全。操作系統是整個信息系統安全的基礎。一方面，要盡量選擇擁有自主知識產權的操作系統，減少“暗門”等對系統安全的影響。目前，我國計算機所使用的操作系統基本上是舶來品，因為缺少自主的技術，會計信息資料網絡安全性較低，不能滿足會計信息所要求達到的保密程度，對高水平的國產化軟件有著迫切的需求；另一方面，會計信息從業人員要注意對操作系統的正確使用，如實時掃描漏洞并進行修補，對帳號、密碼及權限進行管理，紀錄安全日志并進行審計，下載補丁等，都可以提高操作系統的安全性。數據庫軟件，會計信息系統的核心就是存儲在數據庫中的數據，這是一切應用的基礎，故需要對數據的安全性、完整性、保密性等方面采取保護措施。在開發數據庫軟件時，要考慮數據庫系統的穩定性、可擴展性和高效性，以及安全性。各種外部數據信息導入之前，必須要經過病毒檢測程序，同時對財務數據的導出，必須嚴格控制，防止信息外泄。對財務軟件系統的修改維護必須報經相當領導批準同意。數據備份和數據容災是保護數據庫的重要措施，數據備份是指在遠程網絡設備上保存數據，防止數據的丟失和損壞；數據容災是指在異地建立兩套或多套功能相同的IT系統，相互進行狀態監視和功能切換，當一處系統因意外停止工作時，整個應用系統可以切換到另一處，使系統功能可以繼續正常工作。(4)安全管理制度。包括應用控制、數據控制、訪問控制、安全管理體系、內部審計五個方面。應用控制是指在會計信息系統中，應用控制指的是對具體的數據處理活動進行控制，包括數據的輸入、輸出和處理控制。數據輸入時，會計信息系統要能達到糾正數據合理性、重復輸入校驗、邏輯關系測試等工作。網絡環境下，會計資料的輸入由多人承擔，可設置不同的復核方式，由系統對存在差異的數據進行比較。多用戶同時進行操作時，系統自動生成連續的憑證號，使數據有效清晰。嚴格限制財務數據的修改權限，對修改數據的操作，應提供可打印備查界面。電子數據發放及接收都有認證機構提供的記錄清單，以保證雙方權益。數據控制又稱數據保護，可分為安全性控制、完整性控制、并發控制和恢復。安全性控制主要是為了防止數據泄密和破壞，主要措施是授權和收回授權。對企業前內部人員，一定要及時收回授權；完整性控制是為了保證數據的正確性和相容性。數據通信傳輸過程中保證數據的完整，如果有被篡改的情況，接收方能通過軟件及時檢測出來。數據輸入能否正確進入系統，與數據庫軟件的輸入方式、數據格式及相關數據導入兼容轉換有著很大關系。我國很多企業有結合自身特色的會計信息系統，為提高會計信息系統的管理層次，還需將財務信息系統與企業其他管理信息進行有機結合。同時，各不同的財務軟件之數據交換，制定統一并規范的標準。并發控制是確保在多個事務同時存取數據庫中同一數據時不破壞數據庫的統一性?；謴瓦@是指數據庫系統發生故障后，能夠自動恢復到正常的機制。訪問控制是保證網絡安全最重要的核心策略之一，主要任務是保證網絡資源不被非法使用和訪問。訪問控制涉及的技術比較廣，包括入網訪問控制、網絡權限控制、目錄級控制以及屬性控制等多種手段。會計計信息數據的訪問僅限于經過授權的用戶，并且層層加密，禁止處理未經授權的業務。對關鍵財務信息資源，授權范圍應盡可能小。按照網絡環境下會計信息系統的需要，設定各級崗位責任及權限，防止非法操作；對不相容的職務要注意分離，不同崗位之間設定一定的制約機制。如系統管理員不能從事日常會計處理業務，記帳憑證一定要復核員復核才能生成帳簿。安全管理體系，嚴格完善的法律、法規與規章制度是網絡環境下會計信息安全的制度保證。我國目前還沒有專門的網絡會計信息安全的法律法規，暫時還不能滿足現有信息安全的需求。因而應逐步制定出符合我國國情的網絡會計法律體系，規范網絡交通購銷支付以及核算行為，為網絡會計的發展提供良好的法制環境。另一方面，企業自身也應建立安全管理部門，制定安全管理制度對操作人員實行安全技能培訓。使會計信息系統從開發、用戶管理、業務操作、數據存
信息安全審計報告范文6
［作者簡介］王會金（1962― ），男，浙江東陽人，南京審計學院副校長，教授，博士，從事信息系統審計研究。
［摘 要］當前，我國急需一套完善的中觀信息系統審計風險控制體系。這是因為我國的中觀經濟主體在控制信息系統審計風險時需要一套成熟的管理流程，且國家有關部門在制定信息系統審計風險防范標準方面也需要完善的控制體系作為支撐。在闡述COBIT與數據挖掘基本理論的基礎上，借鑒COBIT框架，構建中觀信息系統審計風險的明細控制框架，利用數據挖掘技術有針對性地探索每一個明細標準的數據挖掘路徑，創建挖掘流程，建立適用于我國中觀經濟特色的信息系統審計風險控制體系。
［關鍵詞］中觀信息系統審計；COBIT框架；數據挖掘；風險控制；中觀審計
［中圖分類號］F239.4 ［文獻標識碼］A ［文章編號］10044833(2012)01001608
中觀信息系統審計是中觀審計的重要組成部分，它從屬于中觀審計與信息系統審計的交叉領域。中觀信息系統審計是指IT審計師依據特定的規范，運用科學系統的程序方法，對中觀經濟主體信息系統的運行規程與應用政策所實施的一種監督活動，旨在增強中觀經濟主體特定信息網絡的有效性、安全性、機密性與一致性[1]。與微觀信息系統相比，中觀信息系統功能更為復雜，且區域內紛亂的個體間存在契約關系。中觀信息系統的復雜性主要體現在跨越單個信息系統邊界，參與者之間在信息技術基礎設施水平、信息化程度和能力上存在差異，參與者遵循一定的契約規則，依賴通信網絡支持，對安全性的要求程度很高等方面。中觀信息系統審計風險是指IT審計師在對中觀信息系統進行審計的過程中,由于受到某些不確定性因素的影響,而使審計結論與經濟事實不符，從而受到相關關系人指控或媒體披露并遭受經濟損失以及聲譽損失的可能性。中觀信息系統審計風險控制的研究成果能為我國大型企業集團、特殊的經濟聯合體等中觀經濟主體保持信息系統安全提供強有力的理論支持與實踐指導。
一、 相關理論概述與回顧
（一） COBIT
信息及相關技術的控制目標（簡稱COBIT）由美國信息系統審計與控制協會（簡稱ISACA）頒布，是最先進、最權威的安全與信息技術管理和控制的規范體系。COBIT將IT過程、IT資源及信息與企業的策略及目標聯系于一體，形成一個三維的體系框架。COBIT框架主要由執行工具集、管理指南、控制目標和審計指南四個部分組成，它主要是為管理層提供信息技術的應用構架。COBIT對信息及相關資源進行規劃與處理，從信息技術的規劃與組織、采集與實施、交付與支持以及監控等四個方面確定了34個信息技術處理過程。
ISACA自1976年COBIT1.0版以來，陸續頒布了很多版本，最近ISACA即將COBIT5.0版。ISACA對COBIT理論的研究已趨于成熟，其思路逐步由IT審計師的審計工具轉向IT內部控制框架，再轉向從高管層角度來思考IT治理。大多數國際組織在采納COSO框架時，都同時使用COBIT控制標準。升陽電腦公司等大型國際組織成功應用COBIT優化IT投資。2005年，歐盟也選擇將COBIT作為其審計準則。國內學者對COBIT理論的研究則以借鑒為主，如陽杰、張文秀等學者解讀了COBIT基本理論及其評價與應用方法[23]；謝羽霄、黃溶冰等學者嘗試將COBIT理論應用于銀行、會計、電信等不同的信息系統領域[45]。我國信息系統審計的研究目前正處于起步階段，因而將COBIT理論應用于信息系統的研究也不夠深入。王會金、劉國城研究了COBIT理論在中觀信息系統重大錯報風險評估中的運用，金文、張金城研究了信息系統控制與審計的模型[1，6]。
（二） 數據挖掘
數據挖掘技術出現于20世紀80年代，該技術引出了數據庫的知識發現理論，因此，數據挖掘又被稱為“基于數據庫的知識發現(KDD)”。1995年，在加拿大蒙特利爾召開的首屆KDD & Date Mining 國際學術會議上，學者們首次正式提出數據挖掘理論[7]。當前，數據挖掘的定義有很多，但較為公認的一種表述是：“從大型數據庫中的數據中提取人們感興趣的知識。這些知識是隱含的、事先未知的潛在有用信息，提取的知識表現為概念、規則、規律、模式等形式。數據挖掘所要處理的問題就是在龐大的數據庫中尋找有價值的隱藏事件，加以分析，并將有意義的信息歸納成結構模式，供有關部門在進行決策時參考?！盵7]1995年至2010年，KDD國際會議已經舉辦16次；1997年至2010年，亞太PAKDD會議已經舉辦14次，眾多會議對數據挖掘的探討主要圍繞理論、技術與應用三個方面展開。
目前國內外學者對數據挖掘的理論研究已趨于成熟。亞太PAKDD會議主辦方出版的論文集顯示，2001年至2007年僅7年時間共有32個國家與地區的593篇會議論文被論文集收錄。我國學者在數據挖掘理論的研究中取得了豐碩的成果，具體表現在兩個方面：一是挖掘算法的縱深研究。李也白、唐輝探索了頻繁模式挖掘進展，鄧勇、王汝傳研究了基于網絡服務的分布式數據挖掘，肖偉平、何宏研究了基于遺傳算法的數據挖掘方法[810]。二是數據挖掘的應用研究。我國學者對于數據挖掘的應用研究也積累了豐富的成果，并嘗試將數據挖掘技術應用于醫學、通訊、電力、圖書館、電子商務等諸多領域。2008年以來，僅在中國知網查到的關于數據挖掘應用研究的核心期刊論文就多達476篇。近年來，國際軟件公司也紛紛開發數據挖掘工具，如SPSS Clementine等。同時，我國也開發出數據挖掘軟件，如上海復旦德門公司開發的Dminer,東北大學軟件中心開發的Open Miner等。2000年以來，我國學者將數據挖掘應用于審計的研究成果很多，但將數據挖掘應用于信息系統審計的研究成果不多，且主要集中于安全審計領域具體數據挖掘技術的應用研究。
二、 中觀信息系統審計風險控制體系的構想
本文將中觀信息系統審計風險控制體系（圖1）劃分為以下三個層次。
（一） 第一層次：設計中觀信息系統審計風險的控制框架與明細控制標準
中觀信息系統審計的對象包括信息安全、數據中心運營、技術支持服務、災難恢復與業務持續、績效與容量、基礎設施、硬件管理、軟件管理、數據庫管理、系統開發、變革管理、問題管理、網絡管理、中觀系統通信協議與契約規則等共計14個主要方面[11]。中觀信息系統審計風險控制體系的第一層次是根據COBIT三維控制框架設計的。這一層次需要構架兩項內容：（1）中觀信息系統審計風險的控制框架。該控制框架需要完全融合COBIT理論的精髓，并需要考慮COBIT理論的每一原則、標準、解釋及說明。該控制框架由14項風險防范因子組成，這14個因子必須與中觀信息系統審計的14個具體對象相對應?？蚣苤械拿恳粋€因子也應該形成與自身相配套的風險控制子系統，且子系統應該包含控制的要素、結構、種類、目標、遵循的原則、執行概要等內容。（2）中觀信息系統審計風險的明細控制標準?？刂瓶蚣苤械?4項風險防范因子需要具備與自身相對應的審計風險明細控制規則，IT審計師只有具備相應的明細規范，才能在中觀信息系統審計實施過程中擁有可供參考的審計標準。每個因子的風險控制標準的設計需要以COBIT三維控制框架為平臺，以4個域、34個高層控制目標、318個明細控制目標為準繩。
（二） 第二層次：確定風險控制框架下的具體挖掘流程以及風險控制的原型系統
第一層次構建出了中觀信息系統審計風險控制的明細標準Xi（i∈1n）。在第一層次的基礎上，第二層次需要借助于數據挖掘技術，完成兩個方面的工作。一是針對Xi，設計適用于Xi自身特性的數據挖掘流程。這一過程的完成需要數據資料庫的支持，因而，中觀經濟主體在研討Xi明細控制標準下的數據挖掘流程時，必須以多年積累的信息系統控制與審計的經歷為平臺，建立適用于Xi的主題數據庫。針對明細標準Xi的內在要求以及主題數據庫的特點，我們就可以選擇數據概化、統計分析、聚類分析等眾多數據挖掘方法中的一種或若干種，合理選取特征字段，分層次、多角度地進行明細標準Xi下的數據挖掘實驗，總結挖掘規律，梳理挖掘流程。二是將適用于Xi的n個數據挖掘流程體系完善與融合，開發針對本行業的中觀信息系統審計風險控制的原型系統。原型系統是指系統生命期開始階段建立的，可運行的最小化系統模型。此過程通過對n個有關Xi的數據挖掘流程的融合，形成體系模型，并配以詳細的說明與解釋。對該模型要反復驗證，多方面關注IT審計師對該原型系統的實際需求，盡可能與IT審計師一道對該原型系統達成一致理解。
（三） 第三層次：整合前兩個步驟，構建中觀信息系統風險控制體系
第三層次是對第一層次與第二層次的整合。第三層次所形成的中觀信息系統風險控制體系包括四部分內容：（1）中觀信息系統審計風險控制框架；（2）中觀信息系統審計風險控制參照標準；（3）中觀信息系統審計風險控制明細標準所對應的數據挖掘流程集；（4）目標行業的中觀信息系統審計風險控制的原型系統。在此過程中，對前三部分內容，需要歸納、驗證、總結，并形成具有普遍性的中觀審計風險控制的書面成果；對第四部分內容，需要在對原型系統進行反復調試的基礎上將其開發成軟件，以形成適用于目標行業不同組織單位的“軟性”成果。在設計中觀信息系統風險控制體系的最后階段，需要遵循控制體系的前三部分內容與第四部分內容相互一致、相互補充的原則。相互一致表現在控制體系中的框架、明細控制標準、相關控制流程與原型系統中的設計規劃、屬項特征、挖掘原則相協調；相互補充表現在控制體系中的框架、明細控制標準及相關控制流程是IT審計師在中觀信息系統審計中所參照的一般理念，而原型系統可為IT審計師提供審計結論測試、理念指導測試以及驗證結論。 三、 COBIT框架對中觀信息系統審計風險控制的貢獻
（一） COBIT框架與中觀信息系統審計風險控制的契合分析
現代審計風險由重大錯報風險與檢查風險兩個方面組成，與傳統審計風險相比，現代審計風險拓展了風險評估的范圍，要求考慮審計客體所處的行業風險。但從微觀層面看，傳統審計風險與現代審計風險的主要內容都包括固有風險、控制風險與檢查風險。COBIT框架與中觀信息系統審計風險控制的契合面就是中觀信息系統的固有風險與控制風險。中觀信息系統的固有風險是指“假定不存在內部控制情況下，中觀信息系統存在嚴重錯誤或不法行為的可能性”；中觀信息系統的控制風險是指“內部控制體系未能及時預防某些錯誤或不法行為，以致使中觀信息系統依然存在嚴重錯誤或不法行為的可能性”；中觀信息系統的檢查風險是指“因IT審計師使用不恰當的審計程序，未能發現已經存在重大錯誤的可能性”。IT審計師若想控制中觀信息系統的審計風險，必須從三個方面著手：（1）對不存在內部控制的方面，能夠辨別和合理評價被審系統的固有風險；（2）對存在內部控制的方面，能夠確認內部控制制度的科學性、有效性、健全性，合理評價控制風險；（3）IT審計師在中觀信息系統審計過程中，能夠更大程度地挖掘出被審系統“已經存在”的重大錯誤。我國信息系統審計的理論研究起步較晚，IT審計師在分辨被審系統固有風險，確認控制風險，將檢查風險降低至可接受水平三個方面缺乏成熟的標準加以規范，因此我國的中觀信息系統審計還急需一套完備的流程與指南 當前我國有四項信息系統審計標準，具體為《審計機關計算機輔助審計辦法》、《獨立審計具體準則第20號――計算機信息系統環境下的審計》、《關于利用計算機信息系統開展審計工作有關問題的通知》（88號文件）以及《內部審計具體準則第28號――信息系統審計》。。
圖2 中觀信息系統審計風險的控制框架與控制標準的設計思路
COBIT框架能夠滿足IT審計師的中觀信息系統審計需求，其三維控制體系，4個控制域、34個高層控制目標、318個明細控制目標為IT審計師辨別固有風險，分析控制風險，降低檢查風險提供了絕佳的參照樣板與實施指南。COBIT控制框架的管理理念、一般原則完全可以與中觀信息系統審計風險的控制實現完美契合。通過對COBIT框架與中觀信息系統審計的分析，筆者認為COBIT框架對中觀信息系統審計風險控制的貢獻表現在三個方面（見圖2）：（1）由COBIT的管理指南，虛擬中觀信息系統的管理指南，進而評價中觀主體對自身信息系統的管理程度。COBIT的管理指南由四部分組成，其中成熟度模型用來確定每一控制階段是否符合行業與國際標準，關鍵成功因素用來確定IT程序中最需要控制的活動，關鍵目標指標用來定義IT控制的目標績效水準，關鍵績效指標用來測量IT控制程序是否達到目標。依據COBIT的管理指南，IT審計師可以探尋被審特定系統的行業與國際標準、IT控制活動的重要性層次、IT控制活動的目標績效水平以及評價IT控制活動成效的指標，科學地擬定被審系統的管理指南。（2）由COBIT的控制目標，構建中觀信息系統的控制目標體系，進而評價中觀信息系統的固有風險與檢查風險。COBIT的控制目標包括高層域控制、中層過程控制、下層任務活動控制三個方面，其中，高層域控制由規劃與組織、獲取與實施、交付與支持以及監控四部分組成，中層控制過程由“定義IT戰略規劃”在內的34個高層控制目標組成，下層任務活動控制由318個明細控制目標組成。COBIT的控制目標融合了“IT標準”、“IT資源”以及被審系統的“商業目標”，為IT審計師實施中觀信息系統審計風險控制提供了層級控制體系與明細控制目標。IT審計師可以直接套用COBIT的控制層級與目標擬定中觀信息系統管理與控制的層級控制體系以及明細控制目標，然后再進一步以所擬定的明細控制目標作為參照樣板，合理評判中觀信息系統的固有風險與控制風險。中觀信息系統中“域”、“高層”、“明細”控制目標的三層結構加強了IT審計師審計風險控制的可操作性。（3）由COBIT的審計指南，設計IT審計師操作指南，進而降低中觀信息系統審計的檢查風險。COBIT的審計指南由基本準則、具體準則、執業指南三個部分組成?；緶蕜t規定了信息系統審計行為和審計報告必須達到的基本要求，為IT審計師制定一般審計規范、具體審計計劃提供基本依據。具體準則對如何遵循IT審計的基本標準，提供詳細的規定、具體說明和解釋，為IT審計師如何把握、評價中觀經濟主體對自身系統的控制情況提供指導。執業指南是根據基本標準與具體準則制定的，是系統審計的操作規程和方法，為IT審計師提供了審計流程與操作指南。
（二） 中觀信息系統審計風險控制體系建設舉例――構建“設備管理”控制目標體系
前文所述，中觀信息系統審計的對象包括“信息安全”等14項內容，本文以“硬件管理”為例，運用COBIT的控制目標，構建“硬件管理”的控制目標體系，以利于IT審計師科學評價“硬件管理”存在的固有風險與控制風險?！霸O備管理”控制目標體系的構建思路參見表1。
注：IT標準對IT過程的影響中P表示直接且主要的，S表示間接且次要的；IT過程所涉及的IT資源中C表示涉及；空白表示關聯微小。
表1以“設備管理”為研究對象，結合COBIT控制框架，并將COBIT框架中與“設備管理”不相關的中層控制過程剔除，最終構建出“設備管理”控制的目標體系。該體系由4個域控制目標、21個中層過程控制目標、149個明細控制目標三個層級構成，各個層級的關系見表1。（1）第一層級是域控制，由“P.設備管理的組織規劃目標”、“A.設備管理的獲取與實施目標”、“DS.設備管理的交付與支持目標”以及“M.設備管理的監控目標”構成；（2）第二層級是中層過程控制，由21個目標構成，其中歸屬于P的目標5個，歸屬于A的目標3個，歸屬于D的目標9個，歸屬于M的目標4個；（3）第三層級是下層任務活動控制，由149個明細目標構成，該明細目標體系是中層過程控制目標（P、A、DS、M）針對“IT標準”與“IT資源”的進一步細分。IT標準是指信息系統在運營過程中所應盡可能實現的規則，具體包括有效性、效率性、機密性等7項；IT資源是指信息系統在運營過程中所要求的基本要素，具體有人員、應用等5項。根據表1中“有效性”、“人員”等“IT標準”與“IT資源”合計的12個屬項，每個具體中層控制目標都會衍生出多個明細控制目標。例如，中層控制目標“DS13.運營管理”基于“IT標準”與“IT資源”的特點具體能夠演繹出6項明細控制目標，此7項可表述為“DS13-01.利用各項設備，充分保證硬件設備業務處理與數據存取的及時、正確與有效”，“DS13-02.充分保證硬件設備運營的經濟性與效率性，在硬件設備投入成本一定的情況下，相對加大硬件設備運營所產生的潛在收益”，“DS13-03.硬件設備保持正常的運營狀態，未經授權，不可以改變硬件的狀態、使用范圍與運營特性，保證設備運營的完整性”，“DS13-04.設備應該在規定條件下和規定時間內完成規定的功能與任務，保證設備的可用性”，“DS13-05.硬件設備運營的參與人員必須具備較高的專業素質，工作中遵循相應的行為規范”以及“DS13-06.工作人員在使用各項硬件設備時，嚴格遵循科學的操作規程，工作中注意對硬件設備的保護，禁止惡意損壞設備”。上述三個層級組成了完整的“硬件設備”控制目標體系，若將中觀信息系統審計的14個對象都建立相應的控制目標體系，并將其融合為一體，則將會形成完備的中觀信息系統審計風險控制的整體目標體系。
四、 數據挖掘技術對中觀信息系統審計風險控制的貢獻
（一） 數據挖掘技術與中觀信息系統審計風險控制的融合分析
中觀信息系統是由兩個或兩個以上微觀個體所構成的中觀經濟主體所屬個體的信息資源，在整體核心控制臺的統一控制下，以Internet為依托，按照一定的契約規則實施共享的網狀結構式的有機系統。與微觀信息系統比較，中觀信息系統運行復雜，日志數據、用戶操作數據、監控數據的數量相對龐雜。因而，面對系統海量的數據信息，IT審計師針對前文所構建的明細控制目標Xi下的審計證據獲取工作將面臨很多問題，如數據信息的消化與吸收、數據信息的真假難辨等。而數據挖掘可以幫助決策者尋找數據間潛在的知識與規律，并通過關聯規則實現對異常、敏感數據的查詢、提取、統計與分析，支持決策者在現有的數據信息基礎上進行決策[12]。數據挖掘滿足了中觀信息系統審計的需求，當IT審計師對繁雜的系統數據一籌莫展時，數據挖掘理論中的聚類分析、關聯規則等技術卻能為中觀信息系統審計的方法提供創新之路。筆者認為，將數據挖掘技術應用于前文所述的明細控制目標Xi下審計證據篩選流程的構建是完全可行的。恰當的數據挖掘具體技術，科學的特征字段選取，對敏感與異常數據的精準調取，將會提高中觀信息系統審計的效率與效果，進而降低審計風險。
（二） 中觀信息系統審計風險控制目標Xi下數據挖掘流程的規劃
數據挖掘技術在中觀信息系統審計風險控制中的應用思路見圖3。
注：數據倉庫具體為目標行業特定中觀經濟主體的信息系統數據庫
中觀信息系統審計明細控制目標Xi下數據挖掘流程設計具體可分為六個過程：（1）闡明問題與假設。本部分的研究是在一個特定的應用領域中完成的，以“中觀信息系統審計風險明細控制目標Xi”為主旨，闡明相關問題、評估“控制目標Xi”所處的挖掘環境、詳盡的描述條件假設、合理確定挖掘的目標與成功標準，這些將是實現“控制目標Xi下”挖掘任務的關鍵。（2）數據收集。圖3顯示，本過程需要從原始數據、Web記錄與日志文件等處作為數據源采集數據信息，采集后，還需要進一步描述數據特征與檢驗數據質量。所采集數據的特征描述主要包括數據格式、關鍵字段、數據屬性、一致性，所采集數據的質量檢驗主要考慮是否滿足“控制目標Xi”下數據挖掘的需求，數據是否完整，是否存有錯誤，錯誤是否普遍等。（3）數據預處理。該過程是在圖3的“N.異構數據匯聚數據庫”與“U.全局/局部數據倉庫”兩個模塊下完成的。N模塊執行了整合異構數據的任務，這是因為N中的異構數據庫由不同性質的異構數據組合而成，數據屬性、數據一致性彼此間可能存在矛盾，故N模塊需要通過數據轉換與數據透明訪問實現異構數據的共享。U模塊承載著實現數據清理、數據集成與數據格式化的功能?！翱刂颇繕薠i”下的數據挖掘技術實施前，IT審計師需要事先完成清理與挖掘目標相關程度低的數據，將特征字段中的錯誤值剔除以及將缺省值補齊，將不同記錄的數據合并為新的記錄值以及對數據進行語法修改形成適用于挖掘技術的統一格式數據等系列工作。（4）模型建立。在“V.數據挖掘與知識發現”過程中，選擇與應用多種不同的挖掘技術，校準挖掘參數，實現最優化挖掘。“控制目標Xi”下的數據挖掘技術可以將分類與聚類分析、關聯規則、統計推斷、決策樹分析、離散點分析、孤立點檢測等技術相結合，用多種挖掘技術檢查同一個“控制目標Xi”的完成程度[12]。選擇挖掘技術后，選取少部分數據對目標挖掘技術的實用性與有效性進行驗證，并以此為基礎，以參數設計、模型設定、模型描述等方式對U模塊數據倉庫中的數據開展數據挖掘與進行知識發現。（5）解釋模型。此過程在模塊“W.模式解釋與評價”中完成，中觀信息系統審計風險領域專家與數據挖掘工程師需要依據各自的領域知識、數據挖掘成功標準共同解釋模塊V，審計領域專家從業務角度討論模型結果，數據挖掘工程師從技術角度驗證模型結果。（6）歸納結論。在“Z.挖掘規律與挖掘路徑歸納”中，以W模塊為基礎，整理上述挖掘實施過程，歸納“控制目標Xi”下的挖掘規律，探究“控制目標Xi”下的挖掘流程，整合“控制目標Xi”（i∈1n）的數據挖掘流程體系，并開發原型系統。
（三） 數據挖掘流程應用舉例――“訪問控制”下挖掘思路的設計
如前所述，中觀信息系統審計包括14個對象，其中“網絡管理”對象包含“訪問管理”等多個方面。結合COBIT框架下“M1.過程監控”與“IT標準-機密性”，“訪問管理”可以將“M1-i.用戶訪問網絡必須通過授權，拒絕非授權用戶的訪問”作為其控制目標之一?！癕1-i”數據挖掘的數據來源主要有日志等，本部分截取網絡日志對“M1-i”下數據挖掘流程的設計進行舉例分析。
假設某中觀信息系統在2011年4月20日18時至22時有如下一段日志記錄。
（1） “Sep 20 19:23:06 UNIX login［1015］：FAILED LOGIN 3 FROM(null) FOR wanghua”
（2） “Sep 20 19:51:57 UNIX―zhangli［1016］：LOGIN ON Pts/1 BY zhangli FROM 172.161.11.49”
（3） “Sep 20 20:01:19 UNIX login［1017］：FAILED LOGIN 1 FROM(null) FOR wanghua”
（4） “Sep 20 20:17:23 UNIX―wanyu ［1018］：LOGIN ON Pts/2 BY wanyu FROM 172.161.11.342”
（5） “Sep 20 21:33:20 UNIX―wanghua ［1019］：LOGIN ON Pts/5 BY wanghua FROM 191.34.25.17”
（6） “Sep 20 21:34:39 UNIX su(pam――unix)［1020］:session opened for user root by wanghua (uid=5856)”
… … …
選取上述日志作為數據庫，以前文“控制目標Xi”下數據挖掘的6個過程為范本，可以設計“M1-i.用戶訪問網絡必須通過授權，拒絕非授權用戶的訪問”下的審計證據挖掘流程。該挖掘流程的設計至少包括如下思路：a.選取“授權用戶”作為挖掘的“特征字段”，篩選出“非授權用戶”的日志數據；b.以a為基礎，以“LOGIN ON Pts BY 非授權用戶”作為 “特征字段”進行挖掘；c.以a為基礎，選取“opened … by …”作為“特征字段”實施挖掘。假如日志庫中只有wanghua為非授權用戶，則a將會挖出（1）（3）（5）（6），b會挖出（5），c將會挖掘出（6）。通過對（5）與（6）嫌疑日志的分析以及“M1-i”挖掘流程的建立，IT審計師就能夠得出被審系統的“訪問控制”存在固有風險，且wanghua已經享有了授權用戶權限的結論。
參考文獻：
［1］王會金，劉國城.COBIT及在中觀經濟主體信息系統審計的應用［J］.審計研究，2009(1):5862.
［2］陽杰，莊明來,陶黎娟.基于COBIT的會計業務流程控制［J］.審計與經濟研究，2009（2）：7886.
［3］張文秀，齊興利.基于COBIT的信息系統審計框架研究［J］.南京審計學院學報，2010(5):2934.
［4］謝羽霄,邱晨旭.基于COBIT的電信企業信息技術內部控制研究［J］.電信科學,2009(7):3035.
［5］黃溶冰,王躍堂.商業銀行信息化進程中審計風險與控制［J］.經濟問題探索,2008(2):134137.
［6］金文,張金城.基于COBIT的信息系統控制管理與審計［J］.審計研究，2005(4):7579.
［7］陳安,陳寧.數據挖掘技術與應用［M］.北京：科學工業出版社，2006.
［8］李也白,唐輝.基于改進的PE-tree的頻繁模式挖掘算法［J］.計算機應用，2011(1):101104.
［9］鄧勇,王汝傳.基于網格服務的分布式數據挖掘［J］.計算機工程與應用,2010(8):610.
［10］肖偉平,何宏.基于遺傳算法的數據挖掘方法及應用［J］.湖南科技大學學報，2009(9):8286.
［11］孫強.信息系統審計［M］.北京：機械工業出版社，2003.
［12］蘇新寧,楊建林.數據挖掘理論與技術［M］. 北京：科學技術出版社,2003.
Risk Control System of MesoInformation System Audit:From the Perspective of COBIT Framework of Date Mining Technology
WANG Huijin
（Nanjing Audit University, Nanjing 211815, China）
