审计信息安全管理精选(五篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的5篇审计信息安全管理，期待它们能激发您的灵感。

篇1

关键词：网络审计　历史财务报表审计　信息安全管理　风险评估

一、引言

从审计的角度，风险评估是现代风险导向审计的核心理念。无论是在历史财务报表审计还是在网络审计中，现代风险导向审计均要求审计师在执行审计工作过程中应以风险评估为中心，通过对被审计单位及其环境的了解，评估确定被审计单位的高风险领域，从而确定审计的范围和重点，进一步决定如何收集、收集多少和收集何种性质的证据，以便更有效地控制和提高审计效果及审计效率。从企业管理的角度，企业风险管理将风险评估作为其基本的要素之一进行规范，要求企业在识别和评估风险可能对企业产生影响的基础上，采取积极的措施来控制风险，降低风险为企业带来损失的概率或缩小损失程度来达到控制目的。信息安全风险评估作为企业风险管理的一部分，是企业信息安全管理的基础和关键环节。尽管如此，风险评估在网络审计、历史财务报表审计和企业信息安全管理等工作中的运用却不尽相同，本文在分析计算机信息系统环境下所有特定风险和网络审计风险基本要素的基础上，从风险评估中应关注的风险范围、风险评估的目的、内容、程序及实施流程等内容展开，将网络审计与历史财务报表审计和信息安全管理的风险评估进行对比分析，以期深化对网络审计风险评估的理解。

二、网络审计与历史财务报表审计的风险评估比较

(一)审计风险要素根据美国注册会计师协会的第47号审计标准说明中的审计风险模型，审计风险又由固有风险、控制风险和检查风险构成。其中，固有风险是指不考虑被审计单位相关的内部控制政策或程序的情况下，其财务报表某项认定产生重大错报的可能性；控制风险是被审计单位内部控制未能及时防止或发现财务报表上某项错报或漏报的可能性；检查风险是审计人员通过预定的审计程序未能发现被审计单位财务报表上存在重大错报或漏报的可能性。在网络审计中，审计风险仍然包括固有风险、控制风险和检查风险要素，但其具体内容直接受计算机网络环境下信息系统特定风险的影响。计算机及网络技术的应用能提高企业经营活动的效率，为企业的经营管理带来很大的优越性，但同时也为企业带来了一些新的风险。这些新的风险主要表现为：(1)数据与职责过于集中化。由于手工系统中的职责分工、互相牵制等控制措施都被归并到计算机系统自动处理过程中去了，这些集中的数据库技术无疑会增加数据纵和破坏的风险。(2)系统程序易于被非法调用甚至遭到篡改。由于计算机系统有较高的技术要求，非专业人员难以察觉计算机舞弊的线索，这加大了数据被非法使用的可能性。如经过批准的系统使用人员滥用系统，或者说，企业对接近信息缺乏控制使得重要的数据或程序被盗窃等。(3)错误程序的风险，例如程序中的差错反复和差错级联、数据处理不合逻辑、甚至是程序本身存在错误等。(4)信息系统缺乏应用的审计接口，使得审计人员在审计工作中难以有效地采集或获取企业信息系统中的数据，从而无法正常开展审计工作。(5)网络系统在技术和商业上的风险，如计算机信息系统所依赖的硬件设备可能出现一些不可预料的故障，或者信息系统所依赖的物理工作环境可能对整个信息系统的运行效能带来影响等。相对应地，网络审计的固有风险主要是指系统环境风险，即财务电算化系统本身所处的环境引起的风险，它可分为硬件环境风险和软件环境风险。控制风险包括系统控制风险和财务数据风险，其中，系统控制风险是指会计电算化系统的内部控制不严密造成的风险，财务数据风险是指电磁性财务数据被篡改的可能性。检查风险包括审计软件风险和人员操作风险，审计软件风险是指计算机审计软件本身缺陷原因造成的风险，人员操作风险是指计算机审计系统的操作人员、技术人员和开发人员等在工作中由于主观或客观原因造成的风险。

(二)风险评估目的无论在网络审计还是历史财务报表审计中，风险评估只是审计的一项重要程序，贯穿于审计的整个过程。与其他审计程序紧密联系而不是一项独立的活动。尽管如此，两者所关注的风险范围则有所不同。历史财务报表审计的风险评估要求审计人员主要关注的是被审计单位的重大错报风险――财务报表在审计前存在重大错报的可能性。由于网络审计的审计对象包括被审计单位基于网络的财务信息和网络财务信息系统两类，因此审计人员关注的风险应是被审计单位经营过程中与该两类审计对象相关的风险。(1)对于与企业网络财务信息系统相关的风险，审计人员应该从信息系统生命周期的各个阶段和信息系统的各组成部分及运行环境两方面出发进行评估。信息系统生命周期是指该信息系统从产生到完成乃至进入维护的各个阶段及其活动，无论是在早期的线性开发模型中还是在更为复杂的螺旋式等模型中，一个信息系统的生命周期大都包括规划和启动、设计开发或采购、集成实现、运行和维护、废弃等五个基本阶段。由于信息系统在不同阶段的活动内容不同，企业在不同阶段的控制目标和控制行为也会有所不同，因此，审计人员的风险评估应该贯穿于信息系统的整个生命周期。信息系统的组成部分是指构成该信息系统的硬件、软件及数据等，信息系统的运行环境是指信息系统正常运行使用所依托的物理和管理平台。具体可将其分为五个层面：物理层，即信息系统运行所必备的机房、设备、办公场所、系统线路及相关环境；网络层，即信息系统所需的网络架构的安全情况、网络设备的漏洞情况、网络设备配置的缺陷情况等；系统层，即信息系统本身的漏洞情况、配置的缺陷情况；应用层，即信息系统所使用的应用软件的漏洞情况、安全功能缺陷情况；管理层，即被审计单位在该信息系统的运行使用过程中的组织、策略、技术管理等方面的情况。(2)对于与企业基于网络的财务信息相关的风险，审计人员应着重关注财务信息的重大错报风险和信息的安全风险。重大错报风险主要指被审计单位基于网络的相关财务信息存在重大错报的可能性，它是针对企业借助于网络信息系统或网络技术对有关账户、交易或事项进行确认、计量或披露而言。网络审计中关注的重大错报风险与传统审CtT的内涵基本上是一致的，审计人员在审计时应当考虑被审计单位的行业状况、经营性质、法律及监管环境、会计政策和会计方法的选用、财务业绩的衡量和评价等方面的情况对财务信息错报可能的影响。信息安全风险涉及信息的保密性、完整性、可用性及敏感性等方面可能存在的风险，主要针对企业利用信息系统或一定的网络平台来存储、传输、披露相关财务信息而言。在审计过程中，审eta员应当主要关注相关财务信息被盗用、非法攻击或篡改及非法使用的可能性。当然，这两类风险并非完全分离的，评估时审计人员应将两者结合起来考虑。

(三)风险评估内容　广泛意义的风险评估是指考虑潜在事件对目标实现的影响程度。由于网络审计与历史财务报表审计风险评估的目的并不完全相同，因此两者在风险评估的内容上也是存在区别的。总的来说，网络审计的风险评估内容比历史财务报表审计的风险评估内容更广泛和深入。根据《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风

险》，在历史财务报表审计中，审计人员的风险评估应以了解被审计单位及其环境为内容。为识别和评价重大错报风险，审计人员了解的具体内容包括被审计单位所在行业状况、法律环境与监管环境以及其他外部因素、被审计单位的性质、被审计单位对会计政策的选择和运用、被审计单位的目标、战略以及相关经营风险、被审计单位财务业绩的衡量和评价及被审it@位的内部控制等。在网络审计中。为了识别和评估上文所述的两类风险，审计人员除了从以上方面了解被审计单位及其环境外，还应该关注其他相关的潜在事件及其影响，尤其是企业的财务信息系统及基于网络的财务信息可能面l临的威胁或存在的脆弱点。其中，威胁是指对信息系统及财务信息构成潜在破坏的可能性因素或者事件，它可能是一些如工作人员缺乏责任心、专业技能不足或恶意篡改等人为因素，也可能是一些如灰尘、火灾或通讯线路故障等环境因素。脆弱点是指信息系统及基于网络的财务信息所存在的薄弱环节，它是系统或网络财务信息本身固有的，包括物理环境、组织、过程、人员、管理、配置、硬软件及信息等各方面的弱点。一般来说，脆弱点本身不会带来损失或信息错报，威胁却总是要利用网络、系统的弱点来成功地引起破坏。因此，我们认为网络审计申风险评估的内容应包括以下几方面：(1)识别被审计单位财务信息系统及其基于网络的财务信息可能面临的威胁，并分析威胁发生的可能性；(2)识别被审计单位财务信息系统及其基于网络的财务信息可能存在的脆弱点，并分析脆弱点的严重程度；(3)根据威胁发生的可能性和脆弱点发生的严重程度，判断风险发生的可能性；(4)根据风险发生的可能性，评价风险对财务信息系统和基于网络的财务信息可能带来的影响；(5)若被审计单位存在风险防范或化解措施，审计人员在进行风险评估时还应该考虑相应措施的可行性及有效性。

(四)风险评估程序《中国注册会计师审计准则第1211-----了解被审计单位及其环境并评估重大错报风险》中要求，审计人员应当实施询问、分析程序、观察和检查等程序，以获取被审计单位的信息，进而评估被审计单位的重大错报风险。这些程序同样适用于网络审计中的风险评估。但在具体运用时网络审计中更加注重了解和分析被审计单位与信息系统及网络技术使用相关的事项。在实施询问程序时，审计人员的询问对象围绕信息系统和基于网络的财务信息可大致分为管理人员、系统开发和维护人员(或信息编制人员)、系统使用人员(或信息的内部使用人员)、系统或网络技术顾问及其他外部相关人员(如律师)等五类，分别从不同角度了解信息系统和基于网络的财务信息可能存在的威胁和脆弱点。在实施分析程序时，除了研究财务数据及与财务信息相关的非财务数据可能的异常趋势外，审计人员应格外关注对信息系统及网络的特性情况，被审计单位对信息系统的使用情况等内容的分析比较。实施观察和检查时，除执行常规程序外，审计人员应注意观察信息系统的操作使用和检查信息系统文档。除此之外，针对特定系统或网络技术风险的评估，审计人员还需要实施一些特定的程序。技术方面如IOS取样分析、渗透测试、工具扫描、安全策略分析等；管理方面如风险问卷调查、风险顾问访谈、风险策略分析、文档审核等。其中，IDS取样分析是指通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析；渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法；工具扫描是指通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。风险问卷调查与风险顾问访谈要求审计人员分别采用问卷和面谈的方式向有关主体了解被审计单位的风险状况，使用时关键是要明确问卷或访谈的对象情况风险策略分析要求审计人员对企业所设定的风险管理和应对策略的有效性进行分析，进而评价企业相关风险发生的概率以及可能带来的损失；文档审核是一种事前评价方法，属于前置软件测试的一部分，主要包括需求文档测试和设计文档测试。这些特定程序主要是针对被审计单位信息系统和基于网络的财务信息在网络安全风险方面进行评价，审计人员在具体使用时应结合被审计单位的业务性质选择合适的程序。

三、网络审计与信息安全管理的风险评估比较

(一)风险评估的目的信息安全管理中的风险评估(即信息安全风险评估)是指根据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。作为信息安全保障体系建立过程中的重要的评价方法和决策机制，信息安全风险评估是企业管理的组成部分，它具有规划、组织、协调和控制等管理的基本特征，其主要目的在于从企业内部风险管理的角度，在系统分析和评估风险发生的可能性及带来的损失的基础上，提出有针对性的防护和整改措施，将企业面临或遭遇的风险控制在可接受水平，最大限度地保证组织的信息安全。而网络审计是由独立审计人员向企业提供的一项鉴证服务，其风险评估的目的在于识别和评价潜在事件对被审计单位基于网络的财务信息的合法性、公允性以及网络财务信息系统的合规性、可靠性和有效性的影响程度，从而指导进一步审计程序。因此，两者风险评估的目的是不一样。从评估所应关注的风险范围来看，两者具有一致性，即都需要考虑与信息系统和信息相关的风险。但是，具体的关注边界则是不一样的。信息安全风险评估要评估企业资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，它要求评估人员关注与企业整个信息系统和所有的信息相关的风险，包括实体安全风险、数据安全风险、软件安全风险、运行安全风险等。网络审计中，审计人员是对被审计单位的网络财务信息系统和基于网络的财务信息发表意见，因此，风险评估时审计人员主要关注的是与企业财务信息系统和基于网络的财务信息相关的风险，而不是与企业的整个信息系统和所有的信息相关的风险。根据评估实施者的不同，信息安全风险评估形式包括自评估和他评估。自评估是由组织自身对所拥有的信息系统进行的风险评估活动；他评估通常是由组织的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的具有强制意味的检查。自评估和他评估都可以通过风险评估服务机构进行咨询、服务、培训以及风险评估有关工具的提供。因此。对审计人员而言，受托执行的信息安全风险评估应当归属于管理咨询类，即属于非鉴证业务，与网络审计严格区分开来。

(二)风险评估的内容在我国国家质量监督检验检疫总局的《信息安全风险评估指南》(征求意见稿)国家标准中，它将信息安全风险评估的内容分为两部分：基本要素和相关属性，提出信息安全风险评估应围绕其基本要素展开，并充分考虑与这些基本要素相关的其他属性。其中，风险评估的基本要素包括资产、脆弱性、威胁、风险和安全措施；相关属性包括业务战略、资产价值、安全需求、安全事件、残余风险等。在此基础上的风险计算过程是：(1)对信息资产进行识别，并对资产赋值；(2)对威胁进行分析，并对威

胁发生的可能性赋值；(3)识别信息资产的脆弱性，并对弱点的严重程度赋值；(4)根据威胁和脆弱性计算安全事件发生的可能性；(5)根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；(6)根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。结合上文网络审计风险评估五个方面的内容可以看出，网络审计和信息安全风险评估在内容上有相近之处，即都需要针对信息系统和信息可能面临的威胁和存在的脆弱点进行识别。但是，信息安全管理作为企业的一项内部管理，其风险评估工作需要从两个层次展开：一是评估风险发生的可能性及其影响；二是提出防护或整改措施以控制风险。第一个层次的工作实质上是为第二层次工作服务的，其重点在第二层次。《信息安全风险评估指南》(征求意见稿)提出，企业在确定出风险水平后，应对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理计划。其中，风险处理的方式包括回避风险、降低风险、转移风险、接受风险，而控制措施的选择应兼顾管理和技术，考虑企业发展战略、企业文化、人员素质，并特别关注成本与风险的平衡。网络审计的风险评估工作主要集中在第一个层次，即审计人员通过风险评估，为进一步审计中做出合理的职业判断、有效地实施网络审计程序和实现网络审计目标提供重要基础。因此，两者的评估内容是存在区别的。

篇2

［关键词］ 大坝安全监测； 设备； 选型

1工程概况

新立城水库位于吉林省伊通河中上游，距长春市区16km，控制流域面积1 970平方公里，总库容5．92亿立方米，是一座以防洪、供水为主的大型水库。水库按百年一遇洪水设计，按可能最大洪水校核。枢纽工程包括大坝、输水洞和溢洪道等主要建筑物。

2大坝渗流监测系统建设必要性

虽然新立城水库大坝现有安全监测设施对揭示水库存在的问题和保证大坝安全运行发挥了重要作用，但监测项目设置仍存在不足，不能适应新立城水库工程管理技术进步的要求；本次除险加固后，原设渗流监测设施无法全部保留，也不满足《土石坝安全监测技术规范》（SL60—1994）的要求，主要表现为：

（1） 大坝坝基坝体渗流监测虽已建立包括输水洞渗漏监测在内的6个监测断面，但监测仪器的布设基于当时大坝渗流状态，一是坝基高喷灌浆施工势必导致坝顶及上游监测设施损坏，二是原监测仪器布置难以满足建立灌浆体后的渗流监测要求。在灌浆体有效作用下，坝轴线下游布设的监测仪器尤其是坝体渗流监测仪器可能处于非有效工作状态，应针对大坝新的防渗体系布设和完善渗流监测测点。

（2） 在目前条件下减压井能起到一定的排水减压作用，但灌浆体建立后，减压井功效将发生根本的改变，应视具体情况更新监测方案。渗流量监测将以总堰为主进行监测。

3渗流监测系统技术方案设计

3．1渗流监测断面及测点设计

大坝除险加固主体工程为坝基高喷灌浆，其主旨为根治大坝坝基渗透隐患。对于灌浆完工后的防渗效果以及大坝渗流场的变化情况，均需要有针对性地在特定的位置安装监测设施，对其工程效果进行监测。

本次渗流监测设计充分考虑坝基地质情况及此次除险加固工程的工程内容，并结合原渗流监测系统的布置及系统运行成果，共布设14个监测断面，分别为0＋405、0＋605、0＋805、1＋005、1＋205、1＋405、1＋591、1＋805、1＋911、2＋005、2＋201、2＋401、2＋525。下面以几个典型断面为例阐述一下监测系统的布点原则。

（1） 0＋405断面。大坝0＋000~0＋400桩号处于坝址河道岸坡段，此坝段渗流隐患属于次要部位，建坝时未清至坝基风化岩石，基础仍为强透水层。尽管库区天然及淤积覆盖深厚，但了解坝基灌浆效果还是必要的。因此，此断面仅在灌浆断面前后各布置一个测点，监测其灌浆效果。

（2） 1＋205、1＋405、1＋591、1＋805、1＋911、2＋005断面。大坝1＋200~2＋200桩号处于坝址河床段，坝高超过15米。此坝段是大坝变形较大的坝段，也是坝基渗透隐患严重的坝段，应予以重点监测。因此，在1＋205、1＋405、1＋591、1＋805、1＋911、2＋005桩号各布置一个监测断面。其中，1＋405和2＋005断面布置及监测目的与0＋405断面相同；1＋205断面布置3条监测垂线，分别位于灌浆断面前、后及下游马道，每条垂线坝基坝体各布置一个测点，监测高压灌浆在坝基坝体防渗效果、坝基渗流压力分布和坝体浸润线。1＋591断面布置4条监测垂线，灌浆断面前、后各一个钻孔，每孔坝基坝体各设一个测点，监测高压灌浆效果，每条垂线坝基坝体各布置一个测点，监测灌浆在坝基坝体防渗效果、坝基渗流压力分布和坝体浸润线。下游马道和坝脚下游的两条垂线均沿用原渗流监测系统测点，监测坝基渗流压力分布和坝体浸润线；1＋805断面布置4条监测垂线，灌浆断面前、后布置与1＋591断面布置和监测目的相同，下游马道垂线上布置一个坝体测点，监测坝体浸润线，下游坝脚外坝基布置一个测点，与灌浆断面前、后坝基测点形成坝基监测断面，监测本断面坝基渗流压力分布情况；1＋911断面灌浆断面前坝基设一个测点，下游马道和坝脚下游的两条垂线均沿用原渗流监测系统测点，本断面3测点均为坝基测点，旨在监测灌浆在坝基的防渗效果。

（3） 2＋201、2＋401、2＋525断面。大坝2＋200~2＋600桩号为坝址主河槽段，亦即最大坝高段，是大坝渗流监测的重点坝段。为此，在2＋201、2＋401、2＋525断面各布置一个完整监测断面，监测坝基坝体渗流压力状态。其中2＋201、2＋401断面基于原渗流断面布置，并尽量利用原系统有效测点。

上述渗流监测断面及布设渗流测点构成大坝渗流监测体系，基于其监测成果，对大坝坝基、坝体渗流压力平面分布状态进行总体评价。

3．2大坝渗流监测系统仪器选型

大坝渗流安全监测和管理自动化系统，采用分布式自动化数据采集系统，各断面测点渗流监测数据传入从站的MCU，从站MCU数据无线传输到设在水库管理局工程管理处总控制室控制主站。

3．2．1仪器选型原则

掌握仪器的使用条件，了解其应用历史，包括仪器应用历史、正常使用年限、使用环境、故障率、准确度、精度等；考察生产厂家的生产能力，售后保证条件；足够的可靠性、耐久性及满足工程需要的使用精度要求；必须根据工程性态的预测结果、物理量的变化范围、使用条件、使用年限及性价比确定仪器类型、型号、量程及精度等级等。

3．2．2渗流压力监测仪器

渗流压力监测仪器品种和类型较多，有振弦式、差动电阻式、电阻应变片式以及电感式、气动式等类型，国内外生产厂家知名的就有20余家。各孔隙水压力计的性能指标和稳定性各有特点，通过性能价格比的综合比较，新立城水库大坝渗流监测所用孔隙水压力计选用美国GEOKON公司生产的振弦式4500系列孔隙水压力计。该类传感器全部采用受温度影响最小的不锈钢元件制造，振弦元件设在焊接成的真空密封腔内，钢弦的两端采用特殊锻压工艺技术固定，标准透水石是用带50微米小孔的不锈钢制成，从而保证了产品的高稳定性和微型化，具有坚固耐用、外形尺寸小、安装简便、测值稳定可靠、精度和分辨率高等特点，因而在国内许多大型水利工程中得到应用，如二滩水电站、三峡水利枢纽、丹江口水电站、葛洲坝枢纽、官厅水库、黄碧庄水库、潘家口水利枢纽、万家寨引黄入晋工程、丰满水电站等近百个水利工程的安全监测，取得了较好的监测效果。

3．3测控单元（MCU）选型

3．3．1选型原则

大坝安全监测自动化系统起步于20世纪80年代，在90年代得到较大的发展，国内外均有成熟的产品问世并在实际应用中日臻完善。考虑到进口产品虽在性能上具有较大的优势，但其价位高、维护不及时且对操作管理人员要求高（英文操作软件），建议大坝测控单元选用国内产品。

3．3．2本系统建议MCU选型

依据新立城水库大坝渗流监测系统工程的特点以及系统建设先进性的要求，数据采集单元（MCU），选用基康仪器（北京）有限公司生产的测量控制单元BGK－MICRO－40MCU。

篇3

【关键词】保密意识 审计信息安全

审计信息是审计人员在工作中运用一定的技术、方法、手段，收集加工提炼整理的业务信息，是反映和体现审计工作成果的重要载体，主要包括审计工作信息和审计项目信息，涉及银行敏感信息及经营决策管理的商业秘密。审计人员泄密风险如影随形，无时不在，审计信息保密事关银行信息安全和审计声誉。因此，审计人员肩负审计数据及信息安全的重任，牢固树立保密意识、严格履行保密职责、执行保密纪律是每个审计人员义不容辞的责任。

一、审计信息渠道

审计信息主要来源于审计管理系统及平台信息和审计业务信息收集两个方面：

第一，审计管理系统及平台信息是审计人员在实施审计项目、进行审计管理的过程中，通过审计应用系统及平台获取审计业务操作与管理的业务和数据信息，包括非现场审计系统（OAS系统）信息、审计管理信息系统（AMIS系统）信息、审计知识库系统信息、任期经济责任审计信息资料库信息、总审计室信息平台等信息。

第二，审计业务信息是审计项目和日常审计工作中由各级机构提供的业务信息以及审计项目信息。业务信息包括审计机构审计计划、审计研究成果、被审计机构经营计划及业务指标、客户及其账户信息、业务管理信息等，以及通过Notes邮箱、办公自动化系统（OA系统）、档案管理信息系统等收集整理的各类业务信息。审计项目信息包括审计方案、审计报告、审计模型、审计证据、审计工作底稿，以及审计过程中通过会计档案管理系统、UAAP统一报表平台、对公信贷业务流程系统（CLPM系统）、个人信贷管理系统（A+P系统）、信贷管理系统（CMISII系统）、ODSB二期及ERPF报表查询等收集加工整理的各类信息。

二、主要问题和风险

（一）审计信息未集中管理，存在泄密的潜在风险隐患

便携式计算机是审计人员的必备工具，其中存储大量重要信息，实施审计项目按照审计方案要求分组开展，审计现场点多面广，审计资料不便于集中，审计人员注重信息资料使用忽视保密管理，对敏感及信息未经加密处理采取保密措施，形成审计信息安全隐患。一是项目实施过程中审计信息处于分散失控状态，缺乏安全管理；二是审计项目结束后，由于未明确和指定专人负责归集审计项目信息，致使审计人员未及时清理、归集移除审计项目电子信息资料，长久滞留审计人员计算机中将可能导致审计信息流失和泄密。

（二）计算机上网导致审计信息失密，造成损失形成银行声誉风险

计算机上网成为信息泄露的主要途径，计算机使用无线键盘或鼠标上网、移动存储介质与联网计算机交叉使用将会导致失泄密。一是审计人员因工作需要，有时通过互联网传送或下载工作信息，或上网查询信贷客户企业注册登记等信息，如果客户敏感信息被不法分子截获并利用，给客户带来不利影响的同时，将会导致银行声誉风险的严重后果。二是审计人员使用的计算机、U盘等磁介质若不采取保密措施，未经加密在互联网上传输行内重要数据或信息，被窃密者运用技术软件窃取，无意中将泄露银行敏感信息或商业秘密，给银行造成无可估量的损失。

（三）审计管理系统用户认证安全机制低、对客户敏感信息访问无控制

由于非现场审计系统对相关敏感数据字段未能加密，在审计项目实施过程中，审计人员登录系统可任意查询导出相关的信息及数据，存在敏感信息和商业秘密泄漏的风险。

三、审计信息安全管理措施

第一，健全制度，落实责任。为加强审计信息安全保密，对于计算机设备使用管理、审计管理系统运行管理及数据信息安全保密管理，制定信息安全管理制度，明确责任，落实保密职责。

第二，加强安全保密培训和教育，筑牢审计人员的安全和风险意识。一是要警钟长鸣，加强警示教育，做到防患于未然。二是建立信息安全的长效机制，将审计信息安全保密作为审计人员培训教育的重要内容，使之深刻认识安全无小事，牢记“失之毫厘、谬以千里”道理，始终绷紧安全保密意识的弦，严守保密纪律，自觉履行保密职责。

第三，加强审计系统用户管理，严格用户操作权限，禁止将用户口令及UKEY转借他人使用。在未开展审计项目阶段限制非现场审计系统操作用户，使用系统必须经过申请批准，以防止敏感信息泄露。搭建开放的非现场审计系统学习培训环境，提供审计人员用于学习操作非现场系统。

第四，利用管理信息平台FTP服务器对审计重要信息进行管理，实现远程资源共享，审计人员可查询相关工作信息，本机不再保存敏感信息和数据，切实防范便携机或移动硬盘存储审计信息失泄密的风险隐患。

第五，落实安全管理责任，签订《审计岗位人员保密协议》，强化保密意识，约束审计信息保密行为。

第六，加强计算机管理，严防信息失泄密。设置屏幕保护的时间和密码，确保在长时间不使用计算机时对屏幕上和系统内的敏感信息进行安全保护。计算机做到专机专用，与互联网物理隔离，禁止通过电子邮箱或互联网传输及重要工作信息，避免移动存储介质交叉使用。

第七，应用技术手段加强信息安全管理，审计条线全员推广使用Windows7（企业版）操作系统，应用全盘加密（BitLocker）功能，能够有效降低因设备物理丢失导致的审计信息泄露风险，有助于加强审计信息安全管理。

篇4

关键词:安全审计系统;网络安全管理;措施

互联网时代信息技术虽然使人们的生活更加便捷，却带来了网络安全问题。尽管网络外部检测技术和防御系统已经持续建设，在某种程度抵御外部网络的入侵，保护网络数据信息的安全，但是内部网络的违规操作、非法访问等造成的网络安全问题在外部网络的防御措施得不到有效解决。因此可以利用安全审计系统进行网络安全管理，检测访问网络内部系统的用户，监控其网络行为，记录其异常网络行为，针对记录结果解决网络安全问题，对网络安全隐患的评判具有重要作用。本文主要介绍安全审计系统以及作用，阐述其在网络安全管理的必要性以及实际应用。

1网络安全管理的安全审计系统

1.1安全审计系统的组成

①事件产生器；②事件数据库；③事件分析器；④响应单元。事件产生器的作用：将单位网络获得的事件提供给网络安全审计系统；事件分析器的作用：详细地分析所得到的数据；事件响应单元的作用：根据时间分析器得到的分析结果做出相应的反映；事件数据库的作用：保存时间分析器得到的分析结果。

1.2安全审计系统的要求

1.2.1记录与再现记录安全审计系统中全部违规操作、非法行为，再现系统某种状态的主要行为。1.2.2入侵检测审计系统检查出大多数常见的系统入侵的意图，设计相应程序阻止入侵行为。1.2.3记录入侵行为审计系统记录所有的入侵企图，对于成功入侵用户，可以根据入侵记录恢复系统。1.2.4系统本身的安全性安全审计系统必须保证自身系统操作系统和软件安全以及审计数据安全才可以发挥其在网络安全管理的作用。

2网络安全审计的必要性

2.1提高企业数据安全管理绩效

高新科技技术已经渗透到社会方方面面，有利也有弊，其中企业来说，网络信息安全的问题频频出现，这对于企业网络运营和实际经营造成很大的冲击、带来经济损失。防火墙、防病毒软件、反入侵系统虽然可以解决部分内部用户的非法违规网络行为导致的网络信息安全问题，某种程度也保障了网络信息安全。网络信息外部的防卫无法抵御内部用户在没有网络监管时对网络内部的不合法操作，网络外部的安全防卫措施无法解决网络内部出现的故障。所以企业网络要正常运营、企业经营要得到持续发展，必须要建立企业内部的安全审计系统，对内部用户访问网络系统进行严格监控和审计，有必要时可以采取相应措施惩戒造成网络安全问题的人员，让网络信息安全事件不再发生。

2.2提高网络信息安全性

（1）安全审计系统采取访问控制手段对网络信息进行安全审计和监控，从而提高网络信息安全；（2）对网络信息加密实现网络信息安全审计的目的，实现网络数据私有，做到网络安全管理，为了提高网络信息安全水平要经常维护与检查安全日志；（3）安全审计网络中传输的信息，监控网络操作行为，提高网络信息安全性，提供社会组织的网络化行为安全性保障。

3安全审计系统在网络安全管理的应用

安全审计系统和基础网络病毒防护产品相互结合，共同保护网络的整体安全。企业传统的网络安全体系建设只注重网络边界的安全，重点建设针对外部网络向企业内网攻击的防护措施，没有考虑到内网自身存在的安全隐患，企业的网络信息安全无法得到有效保障。因此，借助安全审计系统对企业网络安全进行审计和评估，实现企业网络的全面安全监督。随着互联网科技快速发展，银行金融行业处于信息化时代，信息化推动银行智能化发展，银行网络信息安全对银行安全稳定发展非常重要，如银行数据集中处理有风险、网络金融服务容易受到黑客、病毒攻击等。由于银行涉及到金钱等财务利益上的交易，而且银行作为信息化时代以客户为主导的服务行业，必须严格地对客户信息进行保密，保障客户信息安全。不仅银行关系到国计民生、对社会经济发展也具有重要意义，所以控制银行信息化风险的最有效方法就是建立银行网络信息安全审计系统。网络的广泛应用给教育行业带来很大便利，目前很多高校和发达地区中小学都建立自己的校园网，但是网络问题作为信息化水平发展的附属品，给校园网安全管理造成很大困扰。虽然校园网已经加大网络外部病毒防御系统建设，但是网络内部检测和审计更需要引起重视，为了减少网络有害信息和侵权行为，规范师生上网行为，维护校园网安全稳定运行，非常有必要建立校园网络安全审计系统。

4结语

本文详细介绍了网络安全管理的安全审计系统以及功能，并且阐述了网络安全审计的必要性，安全审计系统的使用，使网络监控力度大大加强，让网络监控效率得到显著提高，为信息化建设提供了良好的保障。

参考文献

[1]付晓坤.网络安全审计技术的运用[J].中国水运,2013(09):50-51.

[2]张文颖.探讨网络安全中安全审计与监控系统的设计与实现[J].电脑知识与技术,2013(16):3738.

篇5

研究院的安全服务主要包含四大独立服务：安全服务、监测服务、睿眼通和信息安全应急响应指挥平台。服务内容主要包括以下几个方面：

首先是安全咨询。以“业务需求管理”为核心出发点，依托ISO27001、ISO17799等国际信息安全标准和法规及行业规范，融合自上而下的指导方针、管理策略、业务流程运行规则、系统操作指南，建立信息安全管理体系。

其次是安全培训。安全培训旨在提高客户的信息安全意识和技能，为最大程度上提高客户的整体安全防卫意识和安全防卫技能，真正把信息安全管理体系落到实处，提供强力有效的技术支撑保障。

再次是安全评估。对信息资产所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性评估，为客户信息安全管理体系策划提供基础。

最后是安全加固。结合等级保护国家政策及行业规范，通过现场调研，合理使用安全加固工具等为客户提供安全加固服务，主要提供主机加固、系统加固、数据库加固、应用服务器加固、应用加固等服务，安全补丁、安全策略调优、配置优化等服务。

七大监测服务主要包括下几个方面：

第一，“睿眼”外网安全监测预警服务平台是一套软硬件一体化监测平台，以大数据技术为依托，集成了Web漏洞扫描检测技术、采用远程监测对外网网站提供7×24小时实时安全监测服务。通过对网站的不间断监测服务及时发现威胁，从而提升网站的安全防护能力和网站服务质量，并通过安全监测平台的事件跟踪功能建立起一种长效的安全保障机制。

第二，“睿眼”移动安全监测预警服务平台，为政府和企事业单位搭建一个应用App统一存放、统一管理、统一安全监测的AppStroe平台，通过此平台进一步提升用户办事体验，同时方便国家、省部级对下级单位进行移动App管理和统计。

第三，“睿眼”内网安全监测预警服务平台，基于对内网网络系统安全运行的考虑，平台提供对内网的实时安全监测、分析和预警功能。

睿眼通

睿眼通是七大监测预警服务平台提供给客户的一款智能移动终端，基于客户对信息安全情况的即时需求，以七大监测预警服务平台监测结果为主线，可以成为客户处理信息安全问题、了解安全状态趋势、掌握最新安全资讯的贴心助手，随时随地了解网站及信息系统等的整体运行情况。

信息安全应急响应指挥平台

应急响应指挥平台通过各大监测预警服务平台实时监测结果，对告警的安全故障或安全威胁，以最短的时间进行故障排查定位和应急处理。

安全产品

公司安全产品包括堡垒主机系统、系统安全加固、审计系统和信息共享管理系统。

（1）堡垒主机系统。堡垒主机是一种被加固的可以防御进攻的计算机，具备坚强的安全防护能力。堡垒主机系统软件扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。

（2）系统安全加固。系统安全加固V1.0产品是软硬件相结合的产品，通过硬件USB-KEY，提高了服务器系统的安全性，克服单纯使用软件防护的局限性；软件部分包括服务器操作系统安全增强软件、服务器安全，以及统一安全管理平台软件。

（3）审计系统

①日志审计系统。日志审计系统一方面可以集中收集、长时间存放所有的记录日志，避免日志遭到恶意篡改或删除而在安全事件发生时无据可查的状况发生，另一方面日志审计系统强大的日志审计功能可以为组织审计人员提供日志实时监控、高效检索、审计报表等日志审计手段，从而使原本不可能完成的海量日志审计工作可以在短时间内轻松完成，大大减少信息部门的工作量。

②网络安全审计系统。网络安全审计系统主要通过旁路监视并记录对数据库服务器的各类操作行为，通过对各类网络行为的分析，实时地、智能地监控审计，并将审计数据存储，以便日后进行查询、分析，实现对整个网络环境内的操作访问行为的监控和审计。