审计信息安全管理精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇审计信息安全管理，期待它们能激发您的灵感。

篇1

关键词：网络审计　历史财务报表审计　信息安全管理　风险评估

一、引言

从审计的角度，风险评估是现代风险导向审计的核心理念。无论是在历史财务报表审计还是在网络审计中，现代风险导向审计均要求审计师在执行审计工作过程中应以风险评估为中心，通过对被审计单位及其环境的了解，评估确定被审计单位的高风险领域，从而确定审计的范围和重点，进一步决定如何收集、收集多少和收集何种性质的证据，以便更有效地控制和提高审计效果及审计效率。从企业管理的角度，企业风险管理将风险评估作为其基本的要素之一进行规范，要求企业在识别和评估风险可能对企业产生影响的基础上，采取积极的措施来控制风险，降低风险为企业带来损失的概率或缩小损失程度来达到控制目的。信息安全风险评估作为企业风险管理的一部分，是企业信息安全管理的基础和关键环节。尽管如此，风险评估在网络审计、历史财务报表审计和企业信息安全管理等工作中的运用却不尽相同，本文在分析计算机信息系统环境下所有特定风险和网络审计风险基本要素的基础上，从风险评估中应关注的风险范围、风险评估的目的、内容、程序及实施流程等内容展开，将网络审计与历史财务报表审计和信息安全管理的风险评估进行对比分析，以期深化对网络审计风险评估的理解。

二、网络审计与历史财务报表审计的风险评估比较

(一)审计风险要素根据美国注册会计师协会的第47号审计标准说明中的审计风险模型，审计风险又由固有风险、控制风险和检查风险构成。其中，固有风险是指不考虑被审计单位相关的内部控制政策或程序的情况下，其财务报表某项认定产生重大错报的可能性；控制风险是被审计单位内部控制未能及时防止或发现财务报表上某项错报或漏报的可能性；检查风险是审计人员通过预定的审计程序未能发现被审计单位财务报表上存在重大错报或漏报的可能性。在网络审计中，审计风险仍然包括固有风险、控制风险和检查风险要素，但其具体内容直接受计算机网络环境下信息系统特定风险的影响。计算机及网络技术的应用能提高企业经营活动的效率，为企业的经营管理带来很大的优越性，但同时也为企业带来了一些新的风险。这些新的风险主要表现为：(1)数据与职责过于集中化。由于手工系统中的职责分工、互相牵制等控制措施都被归并到计算机系统自动处理过程中去了，这些集中的数据库技术无疑会增加数据纵和破坏的风险。(2)系统程序易于被非法调用甚至遭到篡改。由于计算机系统有较高的技术要求，非专业人员难以察觉计算机舞弊的线索，这加大了数据被非法使用的可能性。如经过批准的系统使用人员滥用系统，或者说，企业对接近信息缺乏控制使得重要的数据或程序被盗窃等。(3)错误程序的风险，例如程序中的差错反复和差错级联、数据处理不合逻辑、甚至是程序本身存在错误等。(4)信息系统缺乏应用的审计接口，使得审计人员在审计工作中难以有效地采集或获取企业信息系统中的数据，从而无法正常开展审计工作。(5)网络系统在技术和商业上的风险，如计算机信息系统所依赖的硬件设备可能出现一些不可预料的故障，或者信息系统所依赖的物理工作环境可能对整个信息系统的运行效能带来影响等。相对应地，网络审计的固有风险主要是指系统环境风险，即财务电算化系统本身所处的环境引起的风险，它可分为硬件环境风险和软件环境风险。控制风险包括系统控制风险和财务数据风险，其中，系统控制风险是指会计电算化系统的内部控制不严密造成的风险，财务数据风险是指电磁性财务数据被篡改的可能性。检查风险包括审计软件风险和人员操作风险，审计软件风险是指计算机审计软件本身缺陷原因造成的风险，人员操作风险是指计算机审计系统的操作人员、技术人员和开发人员等在工作中由于主观或客观原因造成的风险。

(二)风险评估目的无论在网络审计还是历史财务报表审计中，风险评估只是审计的一项重要程序，贯穿于审计的整个过程。与其他审计程序紧密联系而不是一项独立的活动。尽管如此，两者所关注的风险范围则有所不同。历史财务报表审计的风险评估要求审计人员主要关注的是被审计单位的重大错报风险――财务报表在审计前存在重大错报的可能性。由于网络审计的审计对象包括被审计单位基于网络的财务信息和网络财务信息系统两类，因此审计人员关注的风险应是被审计单位经营过程中与该两类审计对象相关的风险。(1)对于与企业网络财务信息系统相关的风险，审计人员应该从信息系统生命周期的各个阶段和信息系统的各组成部分及运行环境两方面出发进行评估。信息系统生命周期是指该信息系统从产生到完成乃至进入维护的各个阶段及其活动，无论是在早期的线性开发模型中还是在更为复杂的螺旋式等模型中，一个信息系统的生命周期大都包括规划和启动、设计开发或采购、集成实现、运行和维护、废弃等五个基本阶段。由于信息系统在不同阶段的活动内容不同，企业在不同阶段的控制目标和控制行为也会有所不同，因此，审计人员的风险评估应该贯穿于信息系统的整个生命周期。信息系统的组成部分是指构成该信息系统的硬件、软件及数据等，信息系统的运行环境是指信息系统正常运行使用所依托的物理和管理平台。具体可将其分为五个层面：物理层，即信息系统运行所必备的机房、设备、办公场所、系统线路及相关环境；网络层，即信息系统所需的网络架构的安全情况、网络设备的漏洞情况、网络设备配置的缺陷情况等；系统层，即信息系统本身的漏洞情况、配置的缺陷情况；应用层，即信息系统所使用的应用软件的漏洞情况、安全功能缺陷情况；管理层，即被审计单位在该信息系统的运行使用过程中的组织、策略、技术管理等方面的情况。(2)对于与企业基于网络的财务信息相关的风险，审计人员应着重关注财务信息的重大错报风险和信息的安全风险。重大错报风险主要指被审计单位基于网络的相关财务信息存在重大错报的可能性，它是针对企业借助于网络信息系统或网络技术对有关账户、交易或事项进行确认、计量或披露而言。网络审计中关注的重大错报风险与传统审CtT的内涵基本上是一致的，审计人员在审计时应当考虑被审计单位的行业状况、经营性质、法律及监管环境、会计政策和会计方法的选用、财务业绩的衡量和评价等方面的情况对财务信息错报可能的影响。信息安全风险涉及信息的保密性、完整性、可用性及敏感性等方面可能存在的风险，主要针对企业利用信息系统或一定的网络平台来存储、传输、披露相关财务信息而言。在审计过程中，审eta员应当主要关注相关财务信息被盗用、非法攻击或篡改及非法使用的可能性。当然，这两类风险并非完全分离的，评估时审计人员应将两者结合起来考虑。

(三)风险评估内容　广泛意义的风险评估是指考虑潜在事件对目标实现的影响程度。由于网络审计与历史财务报表审计风险评估的目的并不完全相同，因此两者在风险评估的内容上也是存在区别的。总的来说，网络审计的风险评估内容比历史财务报表审计的风险评估内容更广泛和深入。根据《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风

险》，在历史财务报表审计中，审计人员的风险评估应以了解被审计单位及其环境为内容。为识别和评价重大错报风险，审计人员了解的具体内容包括被审计单位所在行业状况、法律环境与监管环境以及其他外部因素、被审计单位的性质、被审计单位对会计政策的选择和运用、被审计单位的目标、战略以及相关经营风险、被审计单位财务业绩的衡量和评价及被审it@位的内部控制等。在网络审计中。为了识别和评估上文所述的两类风险，审计人员除了从以上方面了解被审计单位及其环境外，还应该关注其他相关的潜在事件及其影响，尤其是企业的财务信息系统及基于网络的财务信息可能面l临的威胁或存在的脆弱点。其中，威胁是指对信息系统及财务信息构成潜在破坏的可能性因素或者事件，它可能是一些如工作人员缺乏责任心、专业技能不足或恶意篡改等人为因素，也可能是一些如灰尘、火灾或通讯线路故障等环境因素。脆弱点是指信息系统及基于网络的财务信息所存在的薄弱环节，它是系统或网络财务信息本身固有的，包括物理环境、组织、过程、人员、管理、配置、硬软件及信息等各方面的弱点。一般来说，脆弱点本身不会带来损失或信息错报，威胁却总是要利用网络、系统的弱点来成功地引起破坏。因此，我们认为网络审计申风险评估的内容应包括以下几方面：(1)识别被审计单位财务信息系统及其基于网络的财务信息可能面临的威胁，并分析威胁发生的可能性；(2)识别被审计单位财务信息系统及其基于网络的财务信息可能存在的脆弱点，并分析脆弱点的严重程度；(3)根据威胁发生的可能性和脆弱点发生的严重程度，判断风险发生的可能性；(4)根据风险发生的可能性，评价风险对财务信息系统和基于网络的财务信息可能带来的影响；(5)若被审计单位存在风险防范或化解措施，审计人员在进行风险评估时还应该考虑相应措施的可行性及有效性。

(四)风险评估程序《中国注册会计师审计准则第1211-----了解被审计单位及其环境并评估重大错报风险》中要求，审计人员应当实施询问、分析程序、观察和检查等程序，以获取被审计单位的信息，进而评估被审计单位的重大错报风险。这些程序同样适用于网络审计中的风险评估。但在具体运用时网络审计中更加注重了解和分析被审计单位与信息系统及网络技术使用相关的事项。在实施询问程序时，审计人员的询问对象围绕信息系统和基于网络的财务信息可大致分为管理人员、系统开发和维护人员(或信息编制人员)、系统使用人员(或信息的内部使用人员)、系统或网络技术顾问及其他外部相关人员(如律师)等五类，分别从不同角度了解信息系统和基于网络的财务信息可能存在的威胁和脆弱点。在实施分析程序时，除了研究财务数据及与财务信息相关的非财务数据可能的异常趋势外，审计人员应格外关注对信息系统及网络的特性情况，被审计单位对信息系统的使用情况等内容的分析比较。实施观察和检查时，除执行常规程序外，审计人员应注意观察信息系统的操作使用和检查信息系统文档。除此之外，针对特定系统或网络技术风险的评估，审计人员还需要实施一些特定的程序。技术方面如IOS取样分析、渗透测试、工具扫描、安全策略分析等；管理方面如风险问卷调查、风险顾问访谈、风险策略分析、文档审核等。其中，IDS取样分析是指通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析；渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法；工具扫描是指通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。风险问卷调查与风险顾问访谈要求审计人员分别采用问卷和面谈的方式向有关主体了解被审计单位的风险状况，使用时关键是要明确问卷或访谈的对象情况风险策略分析要求审计人员对企业所设定的风险管理和应对策略的有效性进行分析，进而评价企业相关风险发生的概率以及可能带来的损失；文档审核是一种事前评价方法，属于前置软件测试的一部分，主要包括需求文档测试和设计文档测试。这些特定程序主要是针对被审计单位信息系统和基于网络的财务信息在网络安全风险方面进行评价，审计人员在具体使用时应结合被审计单位的业务性质选择合适的程序。

三、网络审计与信息安全管理的风险评估比较

(一)风险评估的目的信息安全管理中的风险评估(即信息安全风险评估)是指根据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。作为信息安全保障体系建立过程中的重要的评价方法和决策机制，信息安全风险评估是企业管理的组成部分，它具有规划、组织、协调和控制等管理的基本特征，其主要目的在于从企业内部风险管理的角度，在系统分析和评估风险发生的可能性及带来的损失的基础上，提出有针对性的防护和整改措施，将企业面临或遭遇的风险控制在可接受水平，最大限度地保证组织的信息安全。而网络审计是由独立审计人员向企业提供的一项鉴证服务，其风险评估的目的在于识别和评价潜在事件对被审计单位基于网络的财务信息的合法性、公允性以及网络财务信息系统的合规性、可靠性和有效性的影响程度，从而指导进一步审计程序。因此，两者风险评估的目的是不一样。从评估所应关注的风险范围来看，两者具有一致性，即都需要考虑与信息系统和信息相关的风险。但是，具体的关注边界则是不一样的。信息安全风险评估要评估企业资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，它要求评估人员关注与企业整个信息系统和所有的信息相关的风险，包括实体安全风险、数据安全风险、软件安全风险、运行安全风险等。网络审计中，审计人员是对被审计单位的网络财务信息系统和基于网络的财务信息发表意见，因此，风险评估时审计人员主要关注的是与企业财务信息系统和基于网络的财务信息相关的风险，而不是与企业的整个信息系统和所有的信息相关的风险。根据评估实施者的不同，信息安全风险评估形式包括自评估和他评估。自评估是由组织自身对所拥有的信息系统进行的风险评估活动；他评估通常是由组织的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的具有强制意味的检查。自评估和他评估都可以通过风险评估服务机构进行咨询、服务、培训以及风险评估有关工具的提供。因此。对审计人员而言，受托执行的信息安全风险评估应当归属于管理咨询类，即属于非鉴证业务，与网络审计严格区分开来。

(二)风险评估的内容在我国国家质量监督检验检疫总局的《信息安全风险评估指南》(征求意见稿)国家标准中，它将信息安全风险评估的内容分为两部分：基本要素和相关属性，提出信息安全风险评估应围绕其基本要素展开，并充分考虑与这些基本要素相关的其他属性。其中，风险评估的基本要素包括资产、脆弱性、威胁、风险和安全措施；相关属性包括业务战略、资产价值、安全需求、安全事件、残余风险等。在此基础上的风险计算过程是：(1)对信息资产进行识别，并对资产赋值；(2)对威胁进行分析，并对威

胁发生的可能性赋值；(3)识别信息资产的脆弱性，并对弱点的严重程度赋值；(4)根据威胁和脆弱性计算安全事件发生的可能性；(5)根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；(6)根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。结合上文网络审计风险评估五个方面的内容可以看出，网络审计和信息安全风险评估在内容上有相近之处，即都需要针对信息系统和信息可能面临的威胁和存在的脆弱点进行识别。但是，信息安全管理作为企业的一项内部管理，其风险评估工作需要从两个层次展开：一是评估风险发生的可能性及其影响；二是提出防护或整改措施以控制风险。第一个层次的工作实质上是为第二层次工作服务的，其重点在第二层次。《信息安全风险评估指南》(征求意见稿)提出，企业在确定出风险水平后，应对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理计划。其中，风险处理的方式包括回避风险、降低风险、转移风险、接受风险，而控制措施的选择应兼顾管理和技术，考虑企业发展战略、企业文化、人员素质，并特别关注成本与风险的平衡。网络审计的风险评估工作主要集中在第一个层次，即审计人员通过风险评估，为进一步审计中做出合理的职业判断、有效地实施网络审计程序和实现网络审计目标提供重要基础。因此，两者的评估内容是存在区别的。

篇2

［关键词］ 大坝安全监测； 设备； 选型

1工程概况

新立城水库位于吉林省伊通河中上游，距长春市区16km，控制流域面积1 970平方公里，总库容5．92亿立方米，是一座以防洪、供水为主的大型水库。水库按百年一遇洪水设计，按可能最大洪水校核。枢纽工程包括大坝、输水洞和溢洪道等主要建筑物。

2大坝渗流监测系统建设必要性

虽然新立城水库大坝现有安全监测设施对揭示水库存在的问题和保证大坝安全运行发挥了重要作用，但监测项目设置仍存在不足，不能适应新立城水库工程管理技术进步的要求；本次除险加固后，原设渗流监测设施无法全部保留，也不满足《土石坝安全监测技术规范》（SL60—1994）的要求，主要表现为：

（1） 大坝坝基坝体渗流监测虽已建立包括输水洞渗漏监测在内的6个监测断面，但监测仪器的布设基于当时大坝渗流状态，一是坝基高喷灌浆施工势必导致坝顶及上游监测设施损坏，二是原监测仪器布置难以满足建立灌浆体后的渗流监测要求。在灌浆体有效作用下，坝轴线下游布设的监测仪器尤其是坝体渗流监测仪器可能处于非有效工作状态，应针对大坝新的防渗体系布设和完善渗流监测测点。

（2） 在目前条件下减压井能起到一定的排水减压作用，但灌浆体建立后，减压井功效将发生根本的改变，应视具体情况更新监测方案。渗流量监测将以总堰为主进行监测。

3渗流监测系统技术方案设计

3．1渗流监测断面及测点设计

大坝除险加固主体工程为坝基高喷灌浆，其主旨为根治大坝坝基渗透隐患。对于灌浆完工后的防渗效果以及大坝渗流场的变化情况，均需要有针对性地在特定的位置安装监测设施，对其工程效果进行监测。

本次渗流监测设计充分考虑坝基地质情况及此次除险加固工程的工程内容，并结合原渗流监测系统的布置及系统运行成果，共布设14个监测断面，分别为0＋405、0＋605、0＋805、1＋005、1＋205、1＋405、1＋591、1＋805、1＋911、2＋005、2＋201、2＋401、2＋525。下面以几个典型断面为例阐述一下监测系统的布点原则。

（1） 0＋405断面。大坝0＋000~0＋400桩号处于坝址河道岸坡段，此坝段渗流隐患属于次要部位，建坝时未清至坝基风化岩石，基础仍为强透水层。尽管库区天然及淤积覆盖深厚，但了解坝基灌浆效果还是必要的。因此，此断面仅在灌浆断面前后各布置一个测点，监测其灌浆效果。

（2） 1＋205、1＋405、1＋591、1＋805、1＋911、2＋005断面。大坝1＋200~2＋200桩号处于坝址河床段，坝高超过15米。此坝段是大坝变形较大的坝段，也是坝基渗透隐患严重的坝段，应予以重点监测。因此，在1＋205、1＋405、1＋591、1＋805、1＋911、2＋005桩号各布置一个监测断面。其中，1＋405和2＋005断面布置及监测目的与0＋405断面相同；1＋205断面布置3条监测垂线，分别位于灌浆断面前、后及下游马道，每条垂线坝基坝体各布置一个测点，监测高压灌浆在坝基坝体防渗效果、坝基渗流压力分布和坝体浸润线。1＋591断面布置4条监测垂线，灌浆断面前、后各一个钻孔，每孔坝基坝体各设一个测点，监测高压灌浆效果，每条垂线坝基坝体各布置一个测点，监测灌浆在坝基坝体防渗效果、坝基渗流压力分布和坝体浸润线。下游马道和坝脚下游的两条垂线均沿用原渗流监测系统测点，监测坝基渗流压力分布和坝体浸润线；1＋805断面布置4条监测垂线，灌浆断面前、后布置与1＋591断面布置和监测目的相同，下游马道垂线上布置一个坝体测点，监测坝体浸润线，下游坝脚外坝基布置一个测点，与灌浆断面前、后坝基测点形成坝基监测断面，监测本断面坝基渗流压力分布情况；1＋911断面灌浆断面前坝基设一个测点，下游马道和坝脚下游的两条垂线均沿用原渗流监测系统测点，本断面3测点均为坝基测点，旨在监测灌浆在坝基的防渗效果。

（3） 2＋201、2＋401、2＋525断面。大坝2＋200~2＋600桩号为坝址主河槽段，亦即最大坝高段，是大坝渗流监测的重点坝段。为此，在2＋201、2＋401、2＋525断面各布置一个完整监测断面，监测坝基坝体渗流压力状态。其中2＋201、2＋401断面基于原渗流断面布置，并尽量利用原系统有效测点。

上述渗流监测断面及布设渗流测点构成大坝渗流监测体系，基于其监测成果，对大坝坝基、坝体渗流压力平面分布状态进行总体评价。

3．2大坝渗流监测系统仪器选型

大坝渗流安全监测和管理自动化系统，采用分布式自动化数据采集系统，各断面测点渗流监测数据传入从站的MCU，从站MCU数据无线传输到设在水库管理局工程管理处总控制室控制主站。

3．2．1仪器选型原则

掌握仪器的使用条件，了解其应用历史，包括仪器应用历史、正常使用年限、使用环境、故障率、准确度、精度等；考察生产厂家的生产能力，售后保证条件；足够的可靠性、耐久性及满足工程需要的使用精度要求；必须根据工程性态的预测结果、物理量的变化范围、使用条件、使用年限及性价比确定仪器类型、型号、量程及精度等级等。

3．2．2渗流压力监测仪器

渗流压力监测仪器品种和类型较多，有振弦式、差动电阻式、电阻应变片式以及电感式、气动式等类型，国内外生产厂家知名的就有20余家。各孔隙水压力计的性能指标和稳定性各有特点，通过性能价格比的综合比较，新立城水库大坝渗流监测所用孔隙水压力计选用美国GEOKON公司生产的振弦式4500系列孔隙水压力计。该类传感器全部采用受温度影响最小的不锈钢元件制造，振弦元件设在焊接成的真空密封腔内，钢弦的两端采用特殊锻压工艺技术固定，标准透水石是用带50微米小孔的不锈钢制成，从而保证了产品的高稳定性和微型化，具有坚固耐用、外形尺寸小、安装简便、测值稳定可靠、精度和分辨率高等特点，因而在国内许多大型水利工程中得到应用，如二滩水电站、三峡水利枢纽、丹江口水电站、葛洲坝枢纽、官厅水库、黄碧庄水库、潘家口水利枢纽、万家寨引黄入晋工程、丰满水电站等近百个水利工程的安全监测，取得了较好的监测效果。

3．3测控单元（MCU）选型

3．3．1选型原则

大坝安全监测自动化系统起步于20世纪80年代，在90年代得到较大的发展，国内外均有成熟的产品问世并在实际应用中日臻完善。考虑到进口产品虽在性能上具有较大的优势，但其价位高、维护不及时且对操作管理人员要求高（英文操作软件），建议大坝测控单元选用国内产品。

3．3．2本系统建议MCU选型

依据新立城水库大坝渗流监测系统工程的特点以及系统建设先进性的要求，数据采集单元（MCU），选用基康仪器（北京）有限公司生产的测量控制单元BGK－MICRO－40MCU。

篇3

【关键词】保密意识 审计信息安全

审计信息是审计人员在工作中运用一定的技术、方法、手段，收集加工提炼整理的业务信息，是反映和体现审计工作成果的重要载体，主要包括审计工作信息和审计项目信息，涉及银行敏感信息及经营决策管理的商业秘密。审计人员泄密风险如影随形，无时不在，审计信息保密事关银行信息安全和审计声誉。因此，审计人员肩负审计数据及信息安全的重任，牢固树立保密意识、严格履行保密职责、执行保密纪律是每个审计人员义不容辞的责任。

一、审计信息渠道

审计信息主要来源于审计管理系统及平台信息和审计业务信息收集两个方面：

第一，审计管理系统及平台信息是审计人员在实施审计项目、进行审计管理的过程中，通过审计应用系统及平台获取审计业务操作与管理的业务和数据信息，包括非现场审计系统（OAS系统）信息、审计管理信息系统（AMIS系统）信息、审计知识库系统信息、任期经济责任审计信息资料库信息、总审计室信息平台等信息。

第二，审计业务信息是审计项目和日常审计工作中由各级机构提供的业务信息以及审计项目信息。业务信息包括审计机构审计计划、审计研究成果、被审计机构经营计划及业务指标、客户及其账户信息、业务管理信息等，以及通过Notes邮箱、办公自动化系统（OA系统）、档案管理信息系统等收集整理的各类业务信息。审计项目信息包括审计方案、审计报告、审计模型、审计证据、审计工作底稿，以及审计过程中通过会计档案管理系统、UAAP统一报表平台、对公信贷业务流程系统（CLPM系统）、个人信贷管理系统（A+P系统）、信贷管理系统（CMISII系统）、ODSB二期及ERPF报表查询等收集加工整理的各类信息。

二、主要问题和风险

（一）审计信息未集中管理，存在泄密的潜在风险隐患

便携式计算机是审计人员的必备工具，其中存储大量重要信息，实施审计项目按照审计方案要求分组开展，审计现场点多面广，审计资料不便于集中，审计人员注重信息资料使用忽视保密管理，对敏感及信息未经加密处理采取保密措施，形成审计信息安全隐患。一是项目实施过程中审计信息处于分散失控状态，缺乏安全管理；二是审计项目结束后，由于未明确和指定专人负责归集审计项目信息，致使审计人员未及时清理、归集移除审计项目电子信息资料，长久滞留审计人员计算机中将可能导致审计信息流失和泄密。

（二）计算机上网导致审计信息失密，造成损失形成银行声誉风险

计算机上网成为信息泄露的主要途径，计算机使用无线键盘或鼠标上网、移动存储介质与联网计算机交叉使用将会导致失泄密。一是审计人员因工作需要，有时通过互联网传送或下载工作信息，或上网查询信贷客户企业注册登记等信息，如果客户敏感信息被不法分子截获并利用，给客户带来不利影响的同时，将会导致银行声誉风险的严重后果。二是审计人员使用的计算机、U盘等磁介质若不采取保密措施，未经加密在互联网上传输行内重要数据或信息，被窃密者运用技术软件窃取，无意中将泄露银行敏感信息或商业秘密，给银行造成无可估量的损失。

（三）审计管理系统用户认证安全机制低、对客户敏感信息访问无控制

由于非现场审计系统对相关敏感数据字段未能加密，在审计项目实施过程中，审计人员登录系统可任意查询导出相关的信息及数据，存在敏感信息和商业秘密泄漏的风险。

三、审计信息安全管理措施

第一，健全制度，落实责任。为加强审计信息安全保密，对于计算机设备使用管理、审计管理系统运行管理及数据信息安全保密管理，制定信息安全管理制度，明确责任，落实保密职责。

第二，加强安全保密培训和教育，筑牢审计人员的安全和风险意识。一是要警钟长鸣，加强警示教育，做到防患于未然。二是建立信息安全的长效机制，将审计信息安全保密作为审计人员培训教育的重要内容，使之深刻认识安全无小事，牢记“失之毫厘、谬以千里”道理，始终绷紧安全保密意识的弦，严守保密纪律，自觉履行保密职责。

第三，加强审计系统用户管理，严格用户操作权限，禁止将用户口令及UKEY转借他人使用。在未开展审计项目阶段限制非现场审计系统操作用户，使用系统必须经过申请批准，以防止敏感信息泄露。搭建开放的非现场审计系统学习培训环境，提供审计人员用于学习操作非现场系统。

第四，利用管理信息平台FTP服务器对审计重要信息进行管理，实现远程资源共享，审计人员可查询相关工作信息，本机不再保存敏感信息和数据，切实防范便携机或移动硬盘存储审计信息失泄密的风险隐患。

第五，落实安全管理责任，签订《审计岗位人员保密协议》，强化保密意识，约束审计信息保密行为。

第六，加强计算机管理，严防信息失泄密。设置屏幕保护的时间和密码，确保在长时间不使用计算机时对屏幕上和系统内的敏感信息进行安全保护。计算机做到专机专用，与互联网物理隔离，禁止通过电子邮箱或互联网传输及重要工作信息，避免移动存储介质交叉使用。

第七，应用技术手段加强信息安全管理，审计条线全员推广使用Windows7（企业版）操作系统，应用全盘加密（BitLocker）功能，能够有效降低因设备物理丢失导致的审计信息泄露风险，有助于加强审计信息安全管理。

篇4

关键词:安全审计系统;网络安全管理;措施

互联网时代信息技术虽然使人们的生活更加便捷，却带来了网络安全问题。尽管网络外部检测技术和防御系统已经持续建设，在某种程度抵御外部网络的入侵，保护网络数据信息的安全，但是内部网络的违规操作、非法访问等造成的网络安全问题在外部网络的防御措施得不到有效解决。因此可以利用安全审计系统进行网络安全管理，检测访问网络内部系统的用户，监控其网络行为，记录其异常网络行为，针对记录结果解决网络安全问题，对网络安全隐患的评判具有重要作用。本文主要介绍安全审计系统以及作用，阐述其在网络安全管理的必要性以及实际应用。

1网络安全管理的安全审计系统

1.1安全审计系统的组成

①事件产生器；②事件数据库；③事件分析器；④响应单元。事件产生器的作用：将单位网络获得的事件提供给网络安全审计系统；事件分析器的作用：详细地分析所得到的数据；事件响应单元的作用：根据时间分析器得到的分析结果做出相应的反映；事件数据库的作用：保存时间分析器得到的分析结果。

1.2安全审计系统的要求

1.2.1记录与再现记录安全审计系统中全部违规操作、非法行为，再现系统某种状态的主要行为。1.2.2入侵检测审计系统检查出大多数常见的系统入侵的意图，设计相应程序阻止入侵行为。1.2.3记录入侵行为审计系统记录所有的入侵企图，对于成功入侵用户，可以根据入侵记录恢复系统。1.2.4系统本身的安全性安全审计系统必须保证自身系统操作系统和软件安全以及审计数据安全才可以发挥其在网络安全管理的作用。

2网络安全审计的必要性

2.1提高企业数据安全管理绩效

高新科技技术已经渗透到社会方方面面，有利也有弊，其中企业来说，网络信息安全的问题频频出现，这对于企业网络运营和实际经营造成很大的冲击、带来经济损失。防火墙、防病毒软件、反入侵系统虽然可以解决部分内部用户的非法违规网络行为导致的网络信息安全问题，某种程度也保障了网络信息安全。网络信息外部的防卫无法抵御内部用户在没有网络监管时对网络内部的不合法操作，网络外部的安全防卫措施无法解决网络内部出现的故障。所以企业网络要正常运营、企业经营要得到持续发展，必须要建立企业内部的安全审计系统，对内部用户访问网络系统进行严格监控和审计，有必要时可以采取相应措施惩戒造成网络安全问题的人员，让网络信息安全事件不再发生。

2.2提高网络信息安全性

（1）安全审计系统采取访问控制手段对网络信息进行安全审计和监控，从而提高网络信息安全；（2）对网络信息加密实现网络信息安全审计的目的，实现网络数据私有，做到网络安全管理，为了提高网络信息安全水平要经常维护与检查安全日志；（3）安全审计网络中传输的信息，监控网络操作行为，提高网络信息安全性，提供社会组织的网络化行为安全性保障。

3安全审计系统在网络安全管理的应用

安全审计系统和基础网络病毒防护产品相互结合，共同保护网络的整体安全。企业传统的网络安全体系建设只注重网络边界的安全，重点建设针对外部网络向企业内网攻击的防护措施，没有考虑到内网自身存在的安全隐患，企业的网络信息安全无法得到有效保障。因此，借助安全审计系统对企业网络安全进行审计和评估，实现企业网络的全面安全监督。随着互联网科技快速发展，银行金融行业处于信息化时代，信息化推动银行智能化发展，银行网络信息安全对银行安全稳定发展非常重要，如银行数据集中处理有风险、网络金融服务容易受到黑客、病毒攻击等。由于银行涉及到金钱等财务利益上的交易，而且银行作为信息化时代以客户为主导的服务行业，必须严格地对客户信息进行保密，保障客户信息安全。不仅银行关系到国计民生、对社会经济发展也具有重要意义，所以控制银行信息化风险的最有效方法就是建立银行网络信息安全审计系统。网络的广泛应用给教育行业带来很大便利，目前很多高校和发达地区中小学都建立自己的校园网，但是网络问题作为信息化水平发展的附属品，给校园网安全管理造成很大困扰。虽然校园网已经加大网络外部病毒防御系统建设，但是网络内部检测和审计更需要引起重视，为了减少网络有害信息和侵权行为，规范师生上网行为，维护校园网安全稳定运行，非常有必要建立校园网络安全审计系统。

4结语

本文详细介绍了网络安全管理的安全审计系统以及功能，并且阐述了网络安全审计的必要性，安全审计系统的使用，使网络监控力度大大加强，让网络监控效率得到显著提高，为信息化建设提供了良好的保障。

参考文献

[1]付晓坤.网络安全审计技术的运用[J].中国水运,2013(09):50-51.

[2]张文颖.探讨网络安全中安全审计与监控系统的设计与实现[J].电脑知识与技术,2013(16):3738.

篇5

研究院的安全服务主要包含四大独立服务：安全服务、监测服务、睿眼通和信息安全应急响应指挥平台。服务内容主要包括以下几个方面：

首先是安全咨询。以“业务需求管理”为核心出发点，依托ISO27001、ISO17799等国际信息安全标准和法规及行业规范，融合自上而下的指导方针、管理策略、业务流程运行规则、系统操作指南，建立信息安全管理体系。

其次是安全培训。安全培训旨在提高客户的信息安全意识和技能，为最大程度上提高客户的整体安全防卫意识和安全防卫技能，真正把信息安全管理体系落到实处，提供强力有效的技术支撑保障。

再次是安全评估。对信息资产所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性评估，为客户信息安全管理体系策划提供基础。

最后是安全加固。结合等级保护国家政策及行业规范，通过现场调研，合理使用安全加固工具等为客户提供安全加固服务，主要提供主机加固、系统加固、数据库加固、应用服务器加固、应用加固等服务，安全补丁、安全策略调优、配置优化等服务。

七大监测服务主要包括下几个方面：

第一，“睿眼”外网安全监测预警服务平台是一套软硬件一体化监测平台，以大数据技术为依托，集成了Web漏洞扫描检测技术、采用远程监测对外网网站提供7×24小时实时安全监测服务。通过对网站的不间断监测服务及时发现威胁，从而提升网站的安全防护能力和网站服务质量，并通过安全监测平台的事件跟踪功能建立起一种长效的安全保障机制。

第二，“睿眼”移动安全监测预警服务平台，为政府和企事业单位搭建一个应用App统一存放、统一管理、统一安全监测的AppStroe平台，通过此平台进一步提升用户办事体验，同时方便国家、省部级对下级单位进行移动App管理和统计。

第三，“睿眼”内网安全监测预警服务平台，基于对内网网络系统安全运行的考虑，平台提供对内网的实时安全监测、分析和预警功能。

睿眼通

睿眼通是七大监测预警服务平台提供给客户的一款智能移动终端，基于客户对信息安全情况的即时需求，以七大监测预警服务平台监测结果为主线，可以成为客户处理信息安全问题、了解安全状态趋势、掌握最新安全资讯的贴心助手，随时随地了解网站及信息系统等的整体运行情况。

信息安全应急响应指挥平台

应急响应指挥平台通过各大监测预警服务平台实时监测结果，对告警的安全故障或安全威胁，以最短的时间进行故障排查定位和应急处理。

安全产品

公司安全产品包括堡垒主机系统、系统安全加固、审计系统和信息共享管理系统。

（1）堡垒主机系统。堡垒主机是一种被加固的可以防御进攻的计算机，具备坚强的安全防护能力。堡垒主机系统软件扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。

（2）系统安全加固。系统安全加固V1.0产品是软硬件相结合的产品，通过硬件USB-KEY，提高了服务器系统的安全性，克服单纯使用软件防护的局限性；软件部分包括服务器操作系统安全增强软件、服务器安全，以及统一安全管理平台软件。

（3）审计系统

①日志审计系统。日志审计系统一方面可以集中收集、长时间存放所有的记录日志，避免日志遭到恶意篡改或删除而在安全事件发生时无据可查的状况发生，另一方面日志审计系统强大的日志审计功能可以为组织审计人员提供日志实时监控、高效检索、审计报表等日志审计手段，从而使原本不可能完成的海量日志审计工作可以在短时间内轻松完成，大大减少信息部门的工作量。

②网络安全审计系统。网络安全审计系统主要通过旁路监视并记录对数据库服务器的各类操作行为，通过对各类网络行为的分析，实时地、智能地监控审计，并将审计数据存储，以便日后进行查询、分析，实现对整个网络环境内的操作访问行为的监控和审计。

篇6

1．强化“制度”管理，为创建信息安全区提供制度保障。

我们根据《中国人民银行信息安全管理规定》和《河南省人民银行系统规范化管理办法》的相关要求，结合当地的实际，建立和完善组织机构建设、计算机安全设备管理、系统操作规程设计、网络建设的安全规划与立项、信息系统安全审计、应急处理预案建设、目标责任制落实等一整套涉及信息安全管理的规章制度，为各项工作创建的落实奠定一个完善的制度基础。与此同时，严格信息安全管理检查制度。科技部门每季会同保卫部门、人事部门、内审部门、纪委组织一次中支机关和辖内的信息安全检查，每次都制定了详细的检查方案，确保检查工作的可操作性和规范性。安全检查完成后及时形成检查报告，报中支信息安全领导小组，并经信息安全领导小组审阅后将检查整改报告送达被检查单位，限期整改并进行后续跟踪。

2．强化“组织”领导，为创建信息安全区提供组织保证。

一方面中支机关及所辖县（市）支行都按要求成立以行长为组长、其他领导班子成员任副组长、部门负责人为成员的信息安全领导小组。另一方面机关各部门设立信息安全管理岗位，指定一名责任心强，熟悉计算机相关知识的职工为信息安全员，具体负责本部门信息安全管理的有关事宜。信息安全领导小组下设办公室，由科技科具体负责协调机关及辖内信息安全管理工作，为信息安全领导小组提供重大事项决策的有关事宜，为信息安全管理提供高效的组织保证。

3．强化“操作”规程，确保信息安全区创建工作的规范化。

明确的岗位目标与操作规程是金融信息安全区创建的重要一环。我们对中支信息安全管理员（部门计算机安全员）、技术支持人员、业务操作人员、一般计算机用户等确定各自的岗位目标和操作规程及应当承担的安全义务。同时制订了明确的岗位操作规程，做到责权明晰，操作规范。同时，我们加强部门之间的协调，要求各部门都要制订业务应急预案和详细的操作规程，然后由科技科进行汇总、协调，形成有效的联防机制。

4．强化“责任”管理，加大金融信息安全区的创建力度。

按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，根据不同层次制订不同内容的信息安全管理责任书，落实各项责任制，信息安全领导小组组长与副组长和各县（市）支行行长、副组长与分管部门负责人、部门负责人与岗位责任人层层签订信息安全责任书，对没有按照规定签订责任书的部门，在出现安全事故时，按照“上溯一级”的原则，追究当事人的直接责任和部门负责人的领导责任。

5．强化“技术”指导，为创建信息安全区的提供智力支持。

重点强化了中支各部门计算机信息安全人员及所辖县市支行安全管理人员的技术指导和信息安全知识的传播，通过举办不同形式的信息安全培训班，提高他们自觉防范的意识和技能，为信息安全打好第一道防线。

6．强化“监督”管理，巩固金融信息安全区创建成果。

篇7

［基金项目］教育部人文社会科学研究规划项目（10YJA790182）；南京审计学院校级一般项目（NSK2009/B22）；江苏省优势学科“审计科学与技术”研究项目

［作者简介］刘国城（1978― ），男，内蒙古赤峰人，南京审计学院讲师，硕士，从事审计理论研究。

第27卷第3期2012年5月审计与经济研究JOURNAL OF AUDIT & ECONOMICSVol.27, No. 3May, 2012

［摘要］在分析中观信息系统风险与损失的成因基础上，借鉴BS7799标准，一方面从物理层次与逻辑层次两个方面研究中观信息系统固有风险的评价模式；另一方面从一般控制与应用控制两个层面探索中观信息系统内部控制的评价机制。基于BS7799标准对中观信息系统审计进行研究，旨在为IT审计师有效实施中观信息系统审计提供应用指南。

［关键词］BS7799标准；中观审计；信息系统审计；内部控制；中观信息系统；中观信息系统风险

［中图分类号］F239.4［文献标识码］A［文章编号］10044833(2012)03005007

所谓中观信息系统审计就是指审计主体依据特定的规范，运用科学系统的程序方法，对中观信息系统网络的运行规程与应用政策实施的一种监督活动，旨在增强中观经济主体特定信息网络的有效性、安全性、机密性与一致性，以保障中观信息系统的高效运行［1］。中观信息系统的审计主体即IT审计师需要重视中观信息系统审计的复杂性，且有必要借助BS7799标准，构建并完善中观信息系统审计的实施流程，优化中观信息系统审计工作，提高审计质量。之所以需要借助BS7799标准，是因为BS7799标准的众多功能可以满足中观信息系统审计工作的需求。在尚未有详细信息系统审计（以下简称“IS审计”）规范的条件下，中观信息系统审计对信息安全管理策略的需求巨大，而BS7799标准恰恰是问世较早且相对成熟的信息安全管理标准，它能够确保在计算机网络系统进行自动通信、信息处理和利用时，在各个物理位置、逻辑区域、存储和传媒介质中，较好地实现保密性、完整性、有效性与可用性，能够在信息管理与计算机科学两个层面加强信息安全管理向中观信息系统审计的理论转化，中观信息系统审计的需求与BS7799标准的功能具备整合的可行性。

一、 BS7799标准

1995年，英国贸工部制定了世界首部信息安全管理体系标准“BS77991：1995《信息安全管理实施规则》”，并作为各类组织实施信息安全管理的指南［2］，由于该标准采用建议和指导的方式编写，因而不作为认证标准使用；1998年，英国又制定了信息安全管理体系认证标准“BS77992：1998《信息安全管理体系规范》”，作为对组织信息安全管理体系进行评审认证的标准［3］；1999年，英国再次对信息安全管理体系标准进行了修订，形成“BS77991：1999”与“BS77992：1999”这一对配套标准；2000年12月，“BS77991：1999”被ISO/IEC正式采纳为国际标准“ISO/IEC17799：2000《信息技术：信息安全管理实施规则》”，此外，“BS77992：1999”也于2002年底被ISO/IEC作为蓝本修订，成为可用于认证的“ISO/IEC《信息安全管理体系规范》”；2005年，BS77991与BS77992再次改版，使得体系更为完善。BS7799标准体系包含10个管理要项、36个管理目标、127个控制目标及500多个管理要点。管理要项如今已成为组织实施信息安全管理的实用指南；安全控制目标能够帮助组织识别运作过程中影响信息安全的因素。BS77991几乎涵盖了所有的安全议题，它主要告诉IT审计师安全管理的注意事项与安全制度。BS77992详细说明了建立、实施和维护信息安全管理的要求，指出组织在实施过程中需要遵循的风险评估等级，从而识别最应该控制的对象并对自身需求进行适当控制。BS77991为信息系统提供了通用的控制措施，BS77992则为BS77991的具体实施提供了应用指南。

国外相对成熟的信息安全管理理论较多，它们各有千秋，彼此之间相互补充且有交叉。BS7799标准仅是众多信息安全管理理论中的一种，与传统审计方法相比，仅适用于IS审计范畴。然而，BS7799标准的特别之处表现在：其一，它是一部通用的信息安全管理指南，呈现了较为全面的系统安全控制措施，阐述了安全策略和优秀的、具有普遍意义的安全操作方法，能够为IT审计师开展审计工作提供全程支持；其二，它遵循“计划-行动-控制-改善方案”的风险管理思想，首先帮助IT审计师规划信息安全审计的方针和范围，其次在审计风险评估的基础上选择适当的审计方法及风险控制策略并予以实施，制定持续性管理规划，建立并运行科学的中观信息系统审计执行体系。

二、 中观信息系统的风险与损失

中观信息系统风险是指成功利用中观信息系统的脆弱性或漏洞，并造成系统损害的可能性。中观信息系统风险极其庞杂且非常普遍，每个中观信息系统面临的风险都是不同的，这种风险可能是单一的，也可能是组合的［4］。中观信息系统风险包括：人员风险、组织风险、物理环境风险、信息机密性风险、信息完整性风险、系统风险、通信操作风险、设施风险、业务连续性风险、法律风险及黏合风险（见图1），它们共同构成了中观信息系统的风险体系，各种风险除具有各自的特性外，有时还可能相互作用。

中观信息系统风险的成因离不开外来威胁与系统自身的脆弱性，且风险的最终后果就是损失。图1中的“a.威胁性”是系统的“风险源”，它是由于未授权访问、毁坏、数据修改以及拒绝服务等给系统造成潜在危害的任何事件。中观信息系统的威胁来自于人为因素及非人为因素两个方面。人为因素是对中观信息系统造成威胁的决定性力量，人为因素造成威胁的主体有竞争对手、网络黑客、不满员工或正常员工。图1中的“b.脆弱性”是指在系统安全程序、管理控制、物理设计中存在的、可能被攻击者利用来获得未授权信息或破坏关键处理的弱点，由物理环境、技术问题、管理问题、法律问题四个方面组成。图1中的“d.风险承受力”是指在中观信息系统遭遇风险或受到攻击时，维持业务运行最基本的服务和保护信息资产的抵抗力、识别力、恢复力和自适应能力。

中观信息系统风险的产生有两种方式：一是遵循“abc”路径，这条路径形成的风险为中观信息系统“固有风险”，即假定中观信息系统中不存在内部控制制度，从而造成系统存在严重错误与不法行为的可能性。该路径的作用形式为人为因素或非人为因素是风险源，对中观信息系统构成威胁，该威胁产生后寻找并利用系统的脆弱点（假定中观信息系统对该脆弱点没有设计内控制度），当威胁成功作用于脆弱点后，就对系统进行有效攻击，进而产生中观信息系统风险。二是遵循“abPc”路径，该路径所形成的风险为中观信息系统的“控制风险”，即内部控制制度体系未能及时预防或发现系统中的某些错误或不法行为，以致中观信息系统遭受损失的可能性。与“abc”路径比较，该路径多出“P.内部控制”过程，这说明当威胁已产生并将利用系统的脆弱点时，中观经济主体已经对该脆弱点设计了内控制度体系，但是由于内部控制制度设计的不科学、不完善或没有得到有效执行，从而造成内部控制未能阻止“威胁”，致使中观信息系统形成风险。中观信息系统损失的形成遵循“cde”路径。然而，由于中观信息系统自身具有一定的风险防御能力（即“d.风险承受力”），因而并非所有风险都将造成损失。当中观信息系统识别并抵抗部分风险后，最终未能消除的风险通过对系统的负面作用，会给中观信息系统造成间接或直接的损失。

三、 中观信息系统固有风险的评价模式

图1中的“abc”路径是中观信息系统固有风险产生的路径，固有风险形成的条件是“假定不存在内部控制制度”。评价固有风险是中观信息系统审计准备阶段的一项基础工作，只有正确评价固有风险，才能合理评估审计风险，准确确定审计范围并制定审计计划［56］。笔者认为，BS7799标准之所以能够有效评价中观信息系统的固有风险，是因为BS7799标准的管理要项、管理目标，控制措施与管理要点组成了信息安全管理体系，这个体系为IT审计师确定与评价系统固有风险提供了指南［7］。BS7799标准对IT审计师评价固有风险的贡献见上表1。

(一) 物理层次的风险评价

物理层次的内容包括物理环境安全与物理环境设备［7］，其中，物理环境安全包括硬件接触控制、预防灾难措施和网络环境安全；物理环境设备包括支持设施、硬件设备和网络物理环境。针对上述分类，下面对物理层次风险评价进行具体分析。

首先是物理环境安全风险评价。在评价物理环境安全风险时，可以借鉴BS7799标准A、B、D1、D3、E、G8、H5、I、J。例如，IT审计师在了解被审中观信息系统的“预防灾难措施”时，可参照“A.安全方针”，依据BS7799对“安全方针”进行阐述，了解被审系统的“信息安全方针”，关注被审系统在相关的“方针与策略”中是否估计到了系统可能遭遇的所有内外部威胁；当威胁发生时，是否有具体的安全保护规定及明确的预防措施；对于方针的执行，是否对每位员工都有所要求。假若IT审计师在审计中未找到被审系统的“安全方针”，或找到了但“安全方针”并未涉及有关“灾难预防”方面的安全措施，则IT审计师可直接认定被审系统在这方面存在固有风险。其次，物理环境设备风险评价。在评价物理环境设备风险时，可以借鉴BS7799标准A、B、C1、D、E2、E3、F6、G3、G8、H5、I、J。例如，IT审计师在了解被审系统有关“硬件设备”的情况时，可参照“C1.资产责任”。BS7799标准对“资产责任”的说明有“组织可根据运作流程与系统结构识别资产，列出清单”，“组织的管理者应该确定专人负责相关资产，防止资产的被盗、丢失与滥用”。借鉴C1的信息安全管理目标与措施，IT审计师可以关注被审单位是否列出了系统硬件设备的清单，是否有专人对资产负责。如果相关方面的管理完备，则说明“硬件设备”在责任方面不存在固有风险，IT审计师也不需要再对此方面的固有风险进行评价。再如，IT审计师在确认“硬件设备”方面的固有风险时，还可参照“E3.通用控制”。BS7799标准对“通用控制”的说明有“定期进行资产清查”，“未经授权，资产不能随便迁移”等。借鉴这一措施，IT审计师需要了解被审系统的有关资产清查记录以及资产转移登记手续，如果相关记录不完整或手续不完备，则IT审计师可直接认定“硬件设备”在控制方面存在固有风险。

(二) 逻辑层次的风险评价

逻辑层次的内容包括软件环境、系统生命周期和逻辑安全［7］。其中，软件环境包括系统软件、网络软件与应用软件；系统生命周期包括系统规划、分析、设计、编码、测试、试运行以及维护；逻辑安全包括软件与数据接触、数据加密机制、数据完整性、入侵检测、病毒与恶意代码以及防火墙。针对以上分类，下面对逻辑层次风险评价进行具体分析。

首先是软件环境风险评价。在评价软件环境风险时可以借鉴BS7799标准A、B、C1、D、E1、E3、F、G、H、I、J。例如，IT审计师在掌握被审系统有关“网络软件”的情况时，可借鉴“G2.用户访问管理”标准。BS7799对该标准的阐述包括“建立用户登记过程，对用户访问实施授权”，“对特权实行严格管理”，“对用户口令进行严格管理”等。借鉴G2下相关信息安全管理措施，IT审计师可以详细核查被审网络软件是否建立了用户注册与登记过程、被审软件的特权管理是否严格、是否要求用户秘密保守口令。假若IT审计师发现用户并未得到访问网络软件的权限却可以轻易访问网络软件，则该软件必然存在风险，IT审计师就可通过与BS7799标准比照并发表评价结论。又如，IT审计师在评价“系统软件”固有风险时，可借鉴“G5.系统访问与使用的监控”标准。该标准的阐述有“使用终端安全登陆程序来访问信息服务”，“对高风险的不活动终端采取时限措施”。IT审计师在评价“系统软件”自身风险时，可套用上述安全措施，逐项分析被审系统软件是否完全达到上述标准并作出合理的风险评价。其次是系统生命周期的风险评价。在评价系统生命周期风险时，可借鉴BS7799标准A、B、D1、D3、E、F1、F2、F3、F4、F6、F7、G、H、I、J。如IT审计师在检查被审系统的“系统设计”时，可参照“H1.系统安全要求”。H1的解释为“系统设计阶段应该充分考虑系统安全性，组织在项目开始阶段需要识别所有的安全要求，并将其作为系统设计开发不可或缺的一部分进行调整与确认”。因而，IT审计师在检查系统设计有关资料时，需要分析被审单位是否把上述解释融入系统设计中，或是否全面、有效地融入设计过程，如果被审单位考虑了诸因素，IT审计师就可以确认被审系统的设计环节在此方面不存在风险。假若IT审计师发现在系统设计阶段被审单位没有考虑到需要“引入控制”，且在系统运营期间对系统的“控制”也不够重视，则IT审计师可以作出系统自身安全及系统设计开发过程存在风险的结论。第三是逻辑安全的风险评价。在评价逻辑安全风险时，可以借鉴BS7799标准A、B、C2、D、E1、E3、F、G1、G2、G4、G5、G6、G7、G8、H、I、J。IT审计师在检查被审系统的“病毒与恶意代码”时，可借鉴“G4.网络访问控制”。BS7799对该标准的阐述有“建立并实施网络用户服务使用方针”，“从用户终端到网络服务的路径必须受到控制”以及“对外部链接的用户进行身份鉴别”等。IT审计师在审计过程中，应该关注被审系统在上述方面的执行思路与执行程度，假若被审单位对上述方面缺乏重视，则恶意用户未经授权或未受限制就能轻易访问系统，系统遭受病毒或恶意代码损害的风险会相应加大。再如，IT审计师在评价系统“数据完整性”的风险时，可借鉴“F1.操作程序与职责”。该标准的描述有“在执行作业的过程中，提供差错处理及例外情况的指导”，“进行职责分离，减少出现非授权更改与数据信息滥用的机会”等。结合上述措施，IT审计师应该关注被审单位是否通过外键、约束、规则等方式保障数据的完整性，如果被审单位没有按照上述方法操作，则被审系统将会在“数据完整性”方面存在风险。

需要强调的是中观信息系统固有风险的评价较为复杂。在理论研究中，本文仅选取BS7799的某些标准举例进行阐述，但在实践中，IT审计师不应只借鉴BS7799标准的单个或部分标准，就做出某方面存在“固有风险”的结论。如仅从C1看，“硬件设备”无固有风险，但从E3看，“硬件设备”确实存在固有风险。鉴于此，IT审计师应由“点”及“面”，全面借鉴BS7799标准的整个体系。只有如此，才能更科学具体地进行物理及逻辑层次的风险评价。

四、 中观信息系统内部控制的评价机制

图1中的“abPc”路径是中观信息系统控制风险产生的路径，控制风险的形成条件是“假定存在内部控制制度，但是内控制度不科学、不健全或执行不到位”，产生控制风险最主要的原因是内部控制机制失效，即“P”过程出现问题。评价内部控制是IT审计师防范审计风险的关键，也是中观信息系统审计实施阶段的一项重要工作。然而，当前我国信息系统审计方面的标准与规范仅有四项，因而IT审计师对信息系统内部控制的评价还处于摸索阶段，急需详细的流程与规范进行指导。笔者认为，BS77991《信息安全管理实施细则》与BS77992《信息安全管理体系规范》能够为IT审计师评价中观信息系统的内部控制提供思路。BS7799是一套完备的信息安全管理体系，IT审计师完全可以借鉴其体系与框架来设计中观信息系统内部控制评价流程，构建适用于中观信息系统的审计流程。BS7799标准的具体借鉴思路见表1，具体阐述如下。

(一) 一般控制的评价

1. 组织管理的内部控制评价

在评价组织管理的内控时，可借鉴BS7799标准A、B、C1、D1、D3、E、F、G、H、I、J。IT审计师可将BS7799标准体系作为信息系统组织管理内部控制的衡量标准，并以此确认被审系统组织管理内控制度的科学性与健全性。假若某中观经济主体将信息系统的部分管理活动外包，则IT审计师可借鉴BS7799中的“B3.外包控制”标准，检查外包合同的全面性与合理性。如果被审单位在外包合同中规定了信息系统的风险、承包主客体各自的系统安全控制程序，并明确规定了“哪些措施必须到位，以保证涉及外包的所有各方关注各自的安全责任”，“哪些措施用以确定与检测信息资产的完整性和保密性”，“采取哪些实物的和逻辑的控制以限制和限定授权用户对系统敏感信息的访问”以及“发生灾难时，采用怎样的策略来维持服务可用性”，则IT审计师就可确认被审系统在外包方面的控制设计具有科学性与全面性，只需再对外包控制条款的执行效果进行评价就可以得出对被审单位外包活动评价的整体结论。

2. 数据资源管理的内部控制评价

在评价数据资源管理的内控时，可以借鉴BS7799标准A、B、C、D、E1、E3、F、G、H、I、J。信息系统数据包括数据字典、权限设置、存储分配、网络地址、硬件配置与系统配置参数，系统数据资源管理有数据存放、备份、恢复等，内容相对复杂。IT审计师在评价数据资源管理的内部控制时，也需要借鉴BS7799标准体系。例如，IT审计师可借鉴“F1.操作程序与职责”或“G6.应用访问控制”评价数据资源管理。F1与G6的阐述有“识别和记录重要数据的更改”、“对数据更改的潜在影响作出评估”、“向所有相关人员传达更改数据的细节”、“数据更改不成功的恢复措施”、“控制用户的数据访问权，如对读、写、删除等进行限制”、“在系统共享中，对敏感的数据实施高级别的保护”。IT审计师在审计时，有必要根据上述思路对系统数据管理的控制制度进行深层次评价。在当前缺乏信息系统审计规范的情况下，以BS7799体系作为评价数据资源管理内部控制的指南，不失为一种好的审计策略。

3. 环境安全管理的内部控制评价

在评价环境安全管理的内控时可以借鉴BS7799标准A、B、C1、D、E、F、G、H、I、J。信息系统的环境安全管理包括物理环境安全管理与软件环境安全管理，系统环境是否安全决定着危险因素对脆弱性的攻击程度，进而决定着信息系统风险。IT审计师在审计系统环境的安全管理过程时，需要关注设备、网络、软件以及硬件等方面。在评价系统环境安全管理的内部控制时，IT审计师有必要借助上述BS7799标准体系。例如，BS7799的“E1.安全区域”标准与“E2.设备安全”标准的解释有“信息处理设施可能受到非法物理访问、盗窃、泄密等威胁，通过建立安全区域、严格进入控制等控制措施对重要的系统设施进行全面保护”，“应该对信息处理设施运作产生不良影响的环境条件加以监控，如，湿度与温度的影响”。类似上述的BS7799系列标准都为IT审计师如何确认环境安全管理的内控提供了审计指导，且其指导思路清晰、全面。IT审计师通过借鉴BS7799系列标准，可以深层次挖掘系统环境安全管理规章制度中存在的疏漏以及执行中存在的问题，从而有效评判环境安全管理的控制风险。

4. 系统运行管理的内部控制评价

在评价系统运行管理的内控时，可以借鉴BS7799标准A、B、C1、D、E1、E3、F、G、H、I、J。中观经济主体对运行系统的管理相对复杂，涉及到系统组织、系统维护、系统完善等多个方面。由于系统运行中需要管理的环节繁多，而且目前也没有规范与流程可以参考，因而，评价系统运行管理的内控也有必要借鉴上述BS7799标准体系。例如，BS7799标准“D2.设备安全”与“H5.开发与支持过程中的安全”的阐述有“信息系统操作者需要接受安全意识培训，熟悉与系统运行相关的安全职责、安全程序与故障制度”，“系统运行中，建立并实施更改控制程序”以及“对操作系统的更改进行技术评审”等方面。IT审计师采用询问、观察、检查、穿行测试等方法评审系统运行管理的内部控制，需要有上述明细的、清晰的信息安全管理规则予以指导，这些标准可以指导IT审计师了解被审系统是否有健全的运行管理规范及是否得到有效运行，借此，IT审计师可以作出全面的内控判断，进而出具正确的审计结论。

(二) 应用控制的评价

信息系统的应用控制包括输入控制、处理控制与输出控制。在评价系统输入控制、处理控制以及输出控制三者的内控时，同样有必要借鉴BS7799标准，且BS7799标准中A、B、D、E1、E3、F1、F2、F3、F4、F5、F7、G1、G2、G4、G5、G6、G7、G8、H、I、J相对应的信息安全管理目标与措施能够在IT审计师对三者进行内控评价时提供相对详尽的审计框架。为确保信息系统输入、处理与输出的信息完整、正确，中观经济主体需要加强对信息系统的应用控制。IT审计师在中观信息系统审计的过程中，需要做到对被审系统应用控制进行正确评价。

在IT审计师对应用控制的符合性测试过程中，上述BS7799标准体系可以对应用控制评价进行全程指导。例如，BS7799标准中“H2.应用系统的安全”提到“数据输入的错误，可以通过双重输入或其他输入检查侦测，建立用于响应输入错误的程序”，“已正确输入的数据可因处理错误或故意行为而被破坏，系统应有确认检查功能以探测数据的破坏”，“为确保所存储的信息相对于各种情况的处理是正确而恰当的，来自应用系统的输出数据应该得到确认”等控制策略，并提出了相对详细的控制措施。应用控制环节是信息处理的脆弱集结点，IT审计师在进行应用控制的符合性测试环节时有必要考虑周全，详尽规划。IT审计师可以遵循H2全面实施针对应用控制的审计，依照BS7799标准体系，检查被审系统对于超范围数值、数据区中的无效字符、丢失的数据、未经认可的控制数据等系统输入问题的控制措施以及应急处理能力；检查是否对系统产生的数据进行了确认，系统的批处理控制措施、平衡控制措施等，以及相关控制行为的执行力度；检查信息输出是否实施了可信性检查、一致性控制等措施，如果有相关措施，那么执行力度如何。BS7799标准体系较为全面，对于IT审计师评价系统的应用控制贡献很大，如果IT审计师能够创造性借鉴该标准，必可做好符合性测试，为实质性测试夯实基础，也定会提高审计质量。

五、 结束语

表1是笔者在分析某商业银行信息系统与某区域物流信息系统的基础上，对“BS7799标准如何应用于信息系统审计”所进行的设计，当针对其他行业时，或许需要对表1进行适当调整。不同行业、不同特性的中观经济主体在信息系统审计中运用BS7799标准时侧重点会有所不同。本文以分析中观信息系统风险为着手点，沿用BS7799标准对中观信息系统审计进行研究，旨在抛砖引玉。

参考文献：

［1］王会金,刘国城.中观经济主体信息系统审计的理论分析及实施路径探索［J］.审计与经济研究,2009(5):2731.

［2］BSI.ISO/IEC17799-2000 Information technologycode of practice for information security management［S］. London:British Standards Institation,2000:179202.

［3］BSI.BS779922002 information security managementspecification for information security management systems［S］. London: British Standards Institation,2002:267280

［4］孙强.信息系统审计［M］.北京:机械工业出版社,2003.

［5］刘国城,王会金.中观信息系统审计风险的理论探索与体系构架［J］.审计研究,2011(2):2128.

［6］王会金.中观信息系统审计风险控制体系研究――以COBIT框架与数据挖掘技术相结合为视角［J］.审计与经济研究，2012（1）：1623.

［7］科飞管理咨询公司.信息安全管理概论-BS7799理解与实施［M］.北京:机械工业出版社, 2002.

BS7799 Criterion and Its Application in Mesoinformation Systems Audit

LIU Guocheng

（Jinshen College of Nanjing Audit University, Nanjing 210029, China）

篇8

关键词：信息安全；体系建设；方案

中图分类号：TP309.2文献标识码：A文章编号：1009-3044(2008)36-2846-02

The Implementation Program of an Information Security System for an Enterprise

GUO Yong, CHEN Rong-sheng, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang

(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)

Abstract: In view of the enterprise information technology becoming more, the issue of business information security has become an important factor in life, an enterprise information security system for the implementation of the program. From the organization, management, construction and technical aspects on the construction of the three. In the specific implementation process, based on the specific circumstances at the same time or step-by-step building-related.

Key words: information security; system construction; program

1 引言

信息安全的体系建设就是让企业建立安全的组织架构，同时建立一套管理规范来规范成员的行为，并建立起安全的平台为企业提供安全支撑同时为企业创造效益。本文根据一些企业现在实际情况，针对其信息安全现状提出总体的实施步骤。企业在具体的实施过程中可参照这些步骤考虑实施。

下文将根据组织建设、管理建设和技术建设三个方面展开阐述。同时，在对技术建设阐述时，将从基础设施建设和系统建设两个方面分开阐述。

2 信息安全体系建设总体步骤

具体的实施步骤如图1所示，具体包括：组织建设、团队建设、管理规范、基础环境、资产定级和评估、支撑系统和服务运维。以上组成部分都可归结为组织建设、管理建设和技术建设三个方面。

图1 信息安全体系建设步骤

实施步骤中有的步骤是可以同时进行的，如图2所示。但有相对的优先级，优先级高的环节相应的应该放在优先考虑的位置。有些环节鉴于完成的周期较长，建议可以同步进行，避免信息安全实施周期过长，影响企业的目标达成。

3 组织建设

信息安全体系建设要做好，组织建设是关键。组织建设是所有其它建设的前提。而组织建设的第一步就是做好组织调整。组织调整就是把信息安全运营管理分为两个部门，一个是生产部门，一个是管理部门。

3.1 信息安全管理部门

信息安全管理部门有权对其它部门进行安全考核，同时信息安全生产部门是由信息安全的管理部门直接管理指挥的。信息安全管理部门的职责决定其管理部门对企业信息安全有着全局的管控能力，负责信息安全全局任务下达和监督，安全战略目标的建议以及政府、公安、司法等安全外联。

3.2 信息安全生产部门

信息安全生产的部门，其信息安全生产内容包括三个部分，对内是企业信息安全的支撑、对外提供企业信息安全服务和公众信息安全服务，接受安全管理部门的领导的管理和考核，和其他生产部门属平级关系。

4 管理建设

4.1 管理制度颁布

对于管理制度，必须对管理规范和流程进行规范定义，在管理制定颁布之前应该作以下的事情：由安全管理部门牵头召开各个部门参与的管理制定内容研究讨论会，收集各方建议；根据各个建议对管理制度进行修订；修订后管理制度，再次召集各个部门讨论并基本通过；安全管理部门颁布管理制度并确定管理制度的实施的开始时间；在制度实施开始时间之前，进行制度宣灌，组织各个部门参加学习，并进行相关学习的考试；管理制度开始实施。

4.2 管理制度落实

信息安全管理制度落实是由信息安全管理部门的管控部执行的，管控部包括考核、质检、审计三个小组共同组成，考核各个部门管理制度的落实情况。如何对各个部门的信息安全情况进行考核呢？不同时期有不同的做法，分为两个阶段：

一是SOC（信息安全运维中心）建设阶段。SOC建设阶段由于安全生产组织和安全支撑系统还不够健全，对安全的支撑十分有限，因此这个阶段的质检、审计、考核多以手工为主，信息安全审计和信息安全质检以部门抽样检查为主，无法做到全面的普查。信息安全质检组定期进行各个部门的信息安全检查，主要工作是定期的信息安全巡检工作。信息安全审计组对各个部门的工作日志进行定期的审计工作，特别是出现信息安全事件后的审计工作。信息安全生产部门配合管理部门进行信息安全质检工作和审计工作，同时信息安全生产部门承担着SOC支撑系统建设的需求分析、项目监督、系统验收等工作。

二是SOC运维阶段。SOC运维阶段，由于各个信息安全支撑系统已经较为完备，而且人员组织逐渐成熟，对信息安全的管控能力将实现一个质的飞越，信息安全质检组可随时对考核部门进行信息安全巡检，巡检可采用面向全网的信息安全自动巡检，全面系统的分析全网的安全状况，信息安全审计可分手工和自动相结合的方式进行审计，根据不同的业务应用、访问控制等进行审计分析，快速高效的进行审计。信息安全管控从抽样管理到全面管理，从静态管理到动态管理，从事后响应到事前预防。

5 基础设施建设及相关建设

信息安全基础设施建设的目的主要是实现对现有生产网资源的集中和优化，提高系统运行效率，并同时进行局部的信息安全加固和改进，使得在信息安全支持系统尚未建成时，使现有生产网系统的信息安全性和可用性提高到一个新的水准。其内容主要包括结构调整、优化整合和安全集成。结构调整主要是对信息安全体系存在重大影响的网络基础架构的调整；优化整合是对信息安全可用性和保密性的关键因素进行改进，如操作通道的加密；安全集成是根据企业信息安全需要综合分析后，得出在现有生产网上所要建设和购置的信息安全系统及产品。

此外，在经过资产的等级划分之后，并进行的相关信息资产的优化整合后，全网中大量的信息安全问题和隐患将被排除，但是还会有许多的薄弱点，这些薄弱点是在优化整合后还没有解决的或疏忽的问题，找出这些薄弱点就需要一次系统的信息安全评估过程，把目前安全存在的问题进行分析。信息安全评估的是根据信息资产的本身的所处的网络环境和信息资产价值有直接的关系，信息安全评估的目的不是要求企业把所有的问题一概而论的解决掉，而是告诉企业有这些一些问题值得关注，至于解决的问题的要投入的人力物力是根据信息资产的本身的价值而定。

6 系统建设

信息安全系统建设也即最后的信息安全体系建设的最后步骤，是具体实施的过程。在面上主要表现为依照信息安全体系建设规划方案进行采购与部署。这里的采购对象包括：产品采购类、服务产品类和研发产品类。

6.1 产品采购类

在建设信息安全支撑和信息安全服务系统过程中会涉及到许多安全产品的采购，如防火墙、黑洞、入侵检测、安全检测工具产品、成熟的安全集成产品等等采购，因此我们将这部分不需要太多定制开发可直接购买或集成的产品定义为产品采购类。其采用的原则是：

1）安全产品的本身应该具备的功能要求；2）安全产品本身应该具备的性能要求；3）安全产品本身应该具备的安全要求；4）安全产品应该具体的管理要求；5）安全产品的可扩展性要求。

6.2 服务产品类

图2 信息安全体系建设并行建设步骤

服务产品类，主要是针对对外安全服务的产品类，对外服务的产品类包括集成产品和服务内容。服务产品定义主要是根据市场运营所推出相应服务而定义。服务产品的实施原则如下：

1）产品市场潜力；2）产品的产出比战略研究；3）产品相关的信息安全等级评估；4）产品相关的信息安全策略；5）产品相关的响应团队；6）产品宣传渠道和策略分析；7）产品相关的增值服务；8）产品创造价值的统计分析。

6.3 研发产品类

信息安全支撑系统和信息安全服务系统建设中，一定有一些系统需要进行定制开发，这些定制开发的产品我们定义为研发类产品。研发类产品建设原则如下：

1）产品能够满足现有生产的功能要求；2）产品具有良好的可靠性和扩展性；3）产品具有一定先进性，能满足3－5年企业IT发展要求；4）产品要预留信息安全管理接口，能对系统日志进行采集和审计。

7 结束语

文章针对在企业信息化程度越来越高的情况下，信息安全成为关乎企业生命的重要因素，提出了一种针对企业的信息安全体系建设实施方案。在具体的实施过程中，可以基于具体情况分步骤或者同时进行相关建设。此方案对于指导企业的信息安全体系建设有一定的参考意义。

参考文献：

[1] 周学广,刘艺. 信息安全学[M]. 北京: 机械工业出版社,2003.

[2] 韩祖德. 计算机信息安全基础教程[M]. 北京: 人民邮电出版社, 2005.

[3] 陆广能. 浅析数字化档案信息安全问题[J]. 电脑知识与技术, 2005, (10):30-32.

[4] 李娟. 浅谈如何构建档案信息安全防护体系[J].河南职业技术师范学院学报, 2004, (4):20-25.

[5] 范开菊. 网络环境下档案信息安全问题探微[J]. 科技情报开发与经济, 2005, (2):47.

篇9

两个发展阶段

卫生监督中心信息安全等级保护工作大致经历了两个发展阶段。

启动与探索阶段（2007年～2008年）：2007年12月，原卫生部组织专家组对部直属机关报送的信息安全等级保护定级情况进行了评审。卫生监督中心的卫生监督信息报告系统和卫生行政许可受理评审系统确定为第三级保护，卫生监督中心网站确定为第二级保护。卫生监督中心在了解了信息安全等级保护制度的同时，启动了信息安全等级保护相关工作。为摸清信息安全隐患，2008年卫生监督中心聘请了具有信息安全相关资质的信息安全咨询公司对等保涉及的信息系统进行了信息安全测评，并制定了相应的整改方案。由于2008年信息安全整改资金等原因，未开展相关整改工作。

发展阶段（2009年至今）：本着统筹考虑、分布实施的原则，在实施国家级卫生监督信息系统建设项目之初就参照等级保护有关要求规划和设计业务应用系统及其运行环境，同时积极开展等级保护备案等工作。在国家级项目二期中，专项对信息安全进行加固。并每年邀请公安部信息安全等级保护评估中心，对卫生监督中心的第三级保护系统进行了安全等级测评。

截至目前，卫生监督中心共有3个信息安全等级保护第三级的信息系统，4个信息安全等级保护第二级的信息系统。

信息安全技术体系

卫生监督信息系统信息安全技术体系建设，严格遵循等级保护第三级的技术要求进行详细设计、技术选择、产品选型、产品部署。技术体系从物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等5个方面进行设计。

1.物理安全

卫生监督中心现有南北两个机房，机房及相关配套设施面积总计160平方米。北机房部署等级保护第三级信息系统，南机房部署等级保护第二级信息系统，实现了第三级系统与第二级系统物理环境隔离。根据等级保护有关要求，机房均采用了精密空调、门禁系统、环境监测系统等设备设施及技术手段，有效地保证了机房的物理安全。

2.网络安全

主干网络链路均采用双链路连接，关键网络、安全设备均采用双机冗余方式，避免单点故障。采用防火墙、入侵防护系统、DDoS系统进行边界防护，各网络区域之间采用防火墙进行区域隔离，在对外服务区部署了入侵检测系统，在交换服务区部署了网络审计系统。在核心数据区部署了数据库审计系统，对网络行为进行监控和记录。在安全管理区部署安全管理系统，实现设备日志的统一收集及分析。

3.主机安全

所有服务器和管理终端配置了密码安全策略；禁止用户远程管理，管理用户必须进入机房通过KVM进行本地管理；所有服务器和管理终端进行了补丁更新，删除了多余账户，关闭了不必要的端口和服务；所有服务器和管理终端开启了安全审计功能；通过对数据库的安全配置，实现管理用户和特权用户的分离，并实现最小授权要求。

4.应用安全

卫生监督中心7个应用系统均完成了定级备案，并按照等级保护要求开展了测评工作。应用服务器采取了集群工作部署，保证了系统的高可用性，同时建立了安全审计功能模块，记录登录日志、业务操作日志、系统操作日志3种日志，并实现查询和审计统计功能，配置了独立的审计账户。门户网站也采用了网页防篡改、DDoS等系统。信息安全等级保护第三级系统管理人员及高权限用户均使用CA证书登录相应系统。

5.数据安全及备份恢复

卫生监督信息报告系统数据库服务器使用了双机热备，应用服务器采用多机负载均衡，每天本地备份，保证了业务系统的安全、稳定和可靠运行。其余等级保护第三级信息系统使用了双机备份，无论是软件还是硬件问题，都可以及时准确地进行恢复并正常提供服务。同时，卫生监督中心在云南建立了异地数据备份中心，每天进行增量备份，每周对数据进行一次全备份。备份数据在一定时间内进行恢复测试，保证备份的有效性。

信息安全管理体系

在开展信息安全等级保护工作中，我们深刻体会到，信息安全工作“三分靠技术，七分靠管理”。为保证信息安全等级保护工作顺利进行，参考ISO/IEC 27001《信息安全管理体系要求》，卫生监督中心建立了符合实际工作情况的信息安全管理制度体系，明确了“统一领导，技管并重；预防为主，责权分明；重点防护，适度安全”的安全方针，涵盖等级保护管理要求中安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五大方面的要求。

卫生监督中心建立了较为完善的信息安全责任制，设立了信息安全领导小组，领导小组组长由卫生监督中心主任担任，成员由卫生监督中心有关处室负责人组成，信息处作为信息安全工作办公室负责卫生监督中心日常信息安全管理工作。信息处设立了信息安全管理岗位，分别为网络管理员、系统管理员、应用管理员、安全管理员、安全审计员、机房管理员，并建立了信息安全岗位责任制度。

此外，卫生监督中心依据上年度运维中存在的信息安全隐患每年对其进行修订，确保信息安全工作落到实处。

信息安全运维体系

在信息安全工作中，建立信息安全管理制度不是目的，要以信息安全等级保护有关要求指导信息安全运维实践。

卫生监督中心结合实际情况，编制了《国家级卫生监督信息系统运行维护工作规范》，从运行维护流程、资源管理和环境管理三个方面进行了规范，将安全运维理念落到实处。

运维人员在实际工作中，严格按照工作规范要求。利用卫生监督中心OA系统，建立了统一的服务台，实现了事件、问题的全流程闭环管理（即：发现问题、登记问题、解决问题、解决反馈、解决确认）。年均处理信息安全事件近百件，将信息安全问题消灭在萌芽阶段，有效地保证了信息系统稳定运行，保证了卫生监督中心信息安全目标和方针的实现。

信息安全等级保护实践经验

1.规范管理，细化流程

卫生监督中心从安全管理制度、安全管理组织机构及人员、安全建设管理和安全运维管理等方面建立了较为完善的安全管理体系。通过管理体系的建设，为国家级卫生监督信息系统运维管理工作中安全管理提供了重要指导。

国家级卫生监督信息系统运维工作从安全管理体系的建设中吸取了很多有益经验，不仅合理调配了运维管理人员，落实了运维管理组织机构和岗位职责，而且细化了运维管理流程，形成了“二级三线”的运维处理机制。

2.循序渐进，持续完善

篇10

论文摘要：本文强调审计工作的安全、高效和信息化，从审计工作的现状、发展瓶颈到信息化审计的制度健全、引入主机系统安全审计、业务系统安全审计等相关管理办法、新技术或新理念和待解决的问题等方面，论述构建安全高效的审计信息化安全保障体系的措施。

审计是客观评价个人，组织、制度、程序、项目或产品。审计执行是以确定有效性和可靠性的信息，还提供了一个可内控的评估系统。审计的目标是表达人、组织、系统等的评估意见，审计人员在测试环境中进行评估工作。审计必须出示合理并基本无误的报表，通常是利用统计抽样来完成。审计也是用来考察和防止虚假数据及欺骗行为，检查、考证目标的完整性、准确性，以及检查目标是否符合既定的标准、尺度和其它审计准则。实现审计的信息化，有利于管理层迅速准确的做出决定，对于政企业发展、社会经济的进步都具有重要作用。目前，我国的审计工作尚存在性质认定模糊、工作范围过于狭窄等问题，有待进一步加强和改进。

审计的基础工作是内部审计，内审是审计监督体系中不可或缺的重要组成部分，是全面经济管理必不可少的手段，是加强任何机构内部管理的必要，推动经济管理向科学化方向发展的重要环节也是审计。因此说审计部门是其他监督部门不能代替的，促进党风廉政建设、加强对党政领导干部及管理人员的监督都可以通过审计来完成。审计应用与高新技术机构中，在防范风险中发挥着重要作用，也有助于领导层做出正确决策。

一、审计工作的现状及存在的问题

随着我国经济迅猛发展，审计监督力度不断增强，审计范围也不断扩大。当前，审计方式已由财政财务审计向效益审计发展，由账项基础审计向制度基础审计、风险基础审计发展，由事后审计向事中、事前审计发展。审计管理上建立审计质量控制体系，要求审计机关把审计管理工作前移，把质量控制体系贯穿与审计工作中。在此趋势下，传统的审计方法暴露出其效率低、审计范围小等劣势，使得完成审计任务，达到审计目标越发缺乏及时性。

(一)内部审计性质认定较为模糊。内部审计是市场经济条件下，基于加强经营管理的内在需要，也是内部审计赖以存在的客观基础。但是，现代内部审计的产生却是一个行政命令产物，强调外向。这种审计模式使人们对内部审计在性质认定上产生模糊，阻碍了内部审计的发展。内部审计很难融入经营管理中，审计工作很难正常开展，很难履行监督评价职能和开展保证咨询活动，因此就不能充分发挥其应有的内向的作用。

(二)内部审计工作范围过于狭窄。内部审计的目的在于为组织增加价值并提高组织的运作效率，其职能是监督和服务。但是，我国内部审计工作的重心局限在财务收支的真实性及合规性审计。长久以来内部审计突出了监督职能，而忽视了服务职能。内部审计认识水平、思想观念的束缚以及管理体制等诸多因素，影响和阻碍着内审作用的有效发挥。原因有会计人员知识水平、业务素质不高，也有不重视法律、法规的因素，还有监管不力、查处不严的原因。目前内部审计尚处在查错阶段，停留在调账、纠正错误上，还不能多角度、深层次分析问题，没有较国际先进的审计理念，我国内部审计的作用尚待开发。审计人员的计算机知识匮乏，不适应电算化、信息化的迅速发展。目前多数审计人员硬件知识掌握不熟练，软件知识了解也不足，因此不能有效地评估信息系统的安全性、效益性。由于计算机审计软件开发标准不同，功能也不完整，因此全面推广计算机辅助审计就有一定难度，导致审计人员的知识和审计手段滞后于信息化的发展。

二、信息化审计体系的健全

当前国家审计信息化发展的趋势是建立审计信息资源的标准化、共享化、公开化，逐步达到向现代审计方式的转变。这一趋势是随着当前科学发展、和谐社会的推进，国家确立的公共财政建设、公共服务的实施、公共产品的提供应运而生的，三个“公共”的主旨是：国家财政资金的使用更注重民生；使用重点更注重服务；使用效益更注重民意。

信息安全审计是任何机构内控、信息系统治理、安全风险控制等不可或缺的关键手段。收集并评估证据以决定一个计算机系统是否有效地做到保护资产、维护数据完整、完成目标，同时能更经济的使用资源。信息安全审计与信息安全管理密切相关，信息安全审计的主要依据是出于不同的角度提出的控制体系的信息安全管理相关的标准。这些控制体系下的信息化审计可以有效地控制信息安全，从而达到安全审计的目的，提高信息系统的安全性。由此，国际组织也制定了相关文件规范填补信息系统审计方面的某些空白。例如《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准。我国法律也针对信息安全审计制定出了《中华人民共和国审计法》、《国务院办公厅关利用计算机信息系统开展审计工作有关的通知》等文件，基本规范了内部审计机制，健全了内部审计机构；强调机构应加强内审工作，机构内部要形成有权就有责、用权受监督的最佳氛围；审计委员会直接对领导班子负责，其成员需具有相应的独立性，委员会成员具良好的职业操守和能力，内审人员应当具备内审人员从业资格，其工作范围不应受到人为限制。内部审计机构对审计过程中发现的重大问题，视具体情况，可以直接向审计委员会或者领导层报告。 转贴于 　三、主机系统安全审计

信息技术审计，或信息系统审计，是一个信息技术基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。

以技术划分，信息化安全审计主要分为主机审计、网络审计、应用审计、数据库审计，综合审计。简单的说获取、记录被审计主机的状态信息和敏感操作就是主机审计，主机审计可以从已有的系统审计记录中提取相关信息，并以审计规则为标准来分析判断被审计主机是否存在违规行为。总之，为了在最大限度保障安全的基础上找到最佳途径使得业务正常工作的一切行为及手段，而对计算机信息系统的薄弱环节进行检测、评估及分析，都可称作安全审计。

主机安全审计系统中事件产生器、分析器和响应单元已经分别以智能审计主机、系统中心、管理与报警处置控制台来替代。实现主机安全系统的审计包括系统安全审计、主机应用安全审计及用户行为审计。智能审计替代主机安装在网络计算机用户上，并按照设计思路监视用户操作行为，同时智能分析事件安全。从面向防护的对象可将主机安全审计系统分为系统安全审计、主机应用安全审计、用户行为审计、移动数据防护审计等方面。

四、待解决的若干问题

计算机与信息系统广泛使用，如何加强对终端用户计算机的安全管理成为一个急需解决的问题。这就需要建立一个信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。

保护网络设备、设施、介质，对操作系统、数据库及服务系统进行漏洞修补和安全加固，对服务器建立严格审核。在安全管理上完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理，形成一套比较完备的信息系统安全管理保障体系。

防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。VPN可以通过一个公用网络建立一个临时的、安垒的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。借助专业的防DDos系统，可以有效的阻止恶意攻击。信息系统的安全需求是全方位的、系统的、整体的，需要从技术、管理等方面进行全面的安全设计和建设，有效提高信息系统的防护、检侧、响应、恢复能力，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。严格的安全管理制度，明确的安全职责划分，合理的人员角色定义，都可以在很大程度上减少网络的安全隐患。

从战略高度充分认识信息安全的重要性和紧迫性。健全安全管理组织体系，明确安全管理的相关组织、机构和职责，建立集中统一、分工协作、各司其职的安全管理责任机制。为了确保突发重大安全事件时，能得到及时的响应和支援，信息系统必须建立和逐步完善应急响应支援体系，确保整个信息系统的安全稳定运行。

参考文献：

[1]宋新月，内部审计在经济管理中的重要作用浅析[J]，知识经济，2009

篇11

一、信息安全概况

随着信息技术的飞速发展，金融机构生产、使用和共享的信息呈现几何增长的态势，信息传递的方式和渠道急剧增加，在为金融机构带来收益和效率的同时，也使信息安全问题更加凸显。在全球范围内，信息安全事件频发，给银行和客户造成经济损失的同时，也带来了巨大的声誉损失。如何有效提升信息安全管理水平，成为银行关注的焦点。信息安全审计作为信息安全保障工作中的重要一环，能够促进信息安全控制措施的落实，规范信息安全管理，提高全员信息安全意识，从而有利于保持和持续改进银行信息安全能力和水平。

根据当前的信息安全管理体系国家标准GB/T22080-2008（等同采用ISO/IEC27001:2005），信息安全保障工作从整体看应包括四个阶段：一是规划和建设阶段（Plan，简称“P阶段”）；二是实施和运行阶段（Do，简称“D阶段”）；三是监视和评审阶段（Check，简称“C阶段”）；四是保持和改进（Act，简称“A阶段”）。这四个阶段按顺序循环往复，从而使信息安全得到持续改进。这种方法也被称为“PDCA循环”，如图1所示。

经过近十几年的努力，金融行业信息安全保障工作已经普遍走过了“P阶段”和“D阶段”，金融行业的信息安全需求已基本明确，满足信息安全需求的基础设施也基本具备。经过大范围的规划建设，各金融机构已经建立了相对完备的信息安全软硬件环境，初步形成了信息安全保障体系。尽管如此，作为关系国计民生的重要基础产业，金融行业对信息安全有着更高的要求，也面临着更大的信息安全风险挑战。近年来，金融行业频繁发生的信息安全事件表明，金融行业信息安全保障工作还存在很多缺陷和不足。导致这一局面的因素很多，其中一个重要的原因就是大家普遍重视信息安全的建设和运行，而忽视了信息安全工作的检查和改进。从整体上看，金融行业信息安全保障工作已经走过“P阶段”和“D阶段”，尚未进入“C阶段”和“A阶段”，还没有形成完整的基于“PDCA”过程方法的持续改进机制。接下来金融行业信息安全工作的重心应该转向检查和改进。信息安全审计是“C阶段”的主要手段。它利用传统财务审计和审计工作的规范与严谨，结合信息和保密技术的工具与手段，对金融机构信息安全工作的成效和不足给出客观、确定的审计结论，并根据审计结果，对金融机构的信息安全保障工作提出改进措施、给出合理化建议。

为了对商业银行信息科技整个生命周期内的信息安全、业务连续性管理和外包等主要方面提出高标准、高要求，满足商业银行信息科技风险管理的需要，银监会2009年了《商业银行信息科技风险管理指引》，其中第六十五条规定：“商业银行应根据业务性质、规模和复杂程度，信息科技应用情况，以及信息科技风险评估结果，决定信息科技内部审计范围和频率。但至少应每三年进行一次全面审计。”

二、国内外信息安全审计现状

（一）国外信息安全审计发展与现状

在建立信息安全审计制度，开展信息安全审计研究方面，美国走在了世界前列。早在计算机进入实用阶段时，美国就开始提出系统审计（SYSTEMAUDIT）概念。1969年在洛杉矶成立了电子数据处理审计师协会（EDPAA），1994年该协会更名为信息系统审计与控制协会（ISACA），总部设在美国芝加哥。自1978年以来，由ISACA发起的注册信息系统审计师（CISA）认证计划已经成为涵盖信息系统审计、控制与安全等专业领域的被广泛认可的标准。目前该组织在世界上100多个国家设有160多个分会，现有会员两万多人。

1999年，美国国家审计署（GAO）《联邦信息系统控制审计手册》（第一版），为美国联邦政府实施信息安全审计提供基本准则和方法。2001年，GAO《联邦信息系统安全审计管理的计划指南》，用于为美国联邦政府实施信息安全审计提供具体指导；2009年，GAO《联邦信息系统控制审计手册》（第二版），该手册成为现阶段美国联邦政府实施信息安全审计的事实标准。

近年来，美国通过立法赋予信息安全审计新的意义，并对企业实施信息安全审计产生重大影响。2002年，美国安然公司和世通财务欺诈案爆发后，美国国会和政府紧急通过了《萨班斯——奥克斯利法案》（Sarbanes-OxleyAct，简称萨班斯法案）。萨班斯法案第302条款和第404条款明确要求“，通过内部控制加强公司治理，包括加强与财务报表相关的IT系统内部控制，而信息安全审计正是IT系统内部控制的核心。”2006年底生效的《巴塞尔新资本协议（》BaselII），要求全球银行必须针对其市场、信用及营运等三种金融作业风险提供相应水准的资金准备，迫使各银行必须做好风险控管，而这一“金融作业风险”的防范也正是需要业务信息安全审计为依托。

近一段时期，以美国、加拿大、澳大利亚为主的西方国家，针对不同的组织机构，以不同的信息安全审计方式，卓有成效地开展了包括信息系统计划与技术构架、信息安全保护与灾难恢复、软件系统开发、获得、实施及维护、商业流程评估及风险管理等方面的信息安全审计。

具体来说，针对各类企业的信息安全审计，采取了以内部审计为主，从关注安全向关注业务目标过渡，一般控制审计与应用控制审计相结合的方式；针对政府机构的信息安全审计，强调外部审计与政府内部审计结合，融入绩效预算管理体系，关注系统最终效果。

在亚洲，日本的信息安全审计始于20世纪80年代。1983年，通产省公开发表了《系统审计标准》，并在全国软件水平考试中增加了“系统审计师”一级的考试，着手培养从事信息系统审计的骨干队伍。近几年，东南亚各国也开始制定电子商务法规，成立专门机构开展信息系统审计业务，并制定技术标准。

（二）我国信息安全审计发展与现状

近年来，我国的信息安全审计日益受到重视，审计署以及一些大型国有银行也相继开展了信息安全方面的审计工作。信息系统审计规范的研究和制定方面，我国已建成了一套比较成熟规范的法规、准则体系，但在信息系统及信息安全审计方面，虽有《内部审计具体准则第28号——信息系统审计》（中国内部审计协会2008年）以及审计署对信息系统审计相关法规、准则的规划及研究，但尚未形成系统的法规、准则和技术标准体系。

三、金融行业信息安全审计组织与实施

金融行业的信息安全审计（InformationSecurityAudit），是指金融机构为了掌握其信息安全保障工作的有效性，根据事先确定的审计依据，在规定的审计范围内，通过文件审核、记录检查、技术测试、现场访谈等活动，获得审计证据，并对其进行客观的评价，以确定被审计对象满足审计依据的程度所进行的系统的、独立的并形成文件的过程。金融机构可以单独实施信息安全审计，也可以将信息安全审计作为其他相关工作的一部分内容联合实施。如IT审计、信息安全等级保护建设、信息安全风险评估、信息安全管理体系建设等。审计的工作流程和内容大致包括六个方面的活动（如图2所示）。

1．确定审计目的和范围。金融机构实施信息安全审计，首先要明确审计目的，确定审计范围。审计目的是信息安全审计工作的出发点。审计目的可以从满足监管部门的要求、满足信息安全国际国内标准的要求、满足机构自身信息安全工作要求等合规性方面考虑。明确了审计目的，然后要确定审计范围。审计范围是影响审计工作量的一个重要因素。确定审计范围，可以从组织机构考虑，如仅对个别部门实施审计，或者在组织全部范围实施审计；也可以从业务和系统角度考虑，如仅对核心系统实施审计，或者仅对信贷业务实施审计等。

2.明确审计依据。审计依据就像一把“尺子”，审计人员用它来衡量信息安全工作的“长短”。审计目的不同，审计依据就可能不同，如表1中所示。

3.组建审计组。审计组是具体实施信息安全审计工作的基本组织单位，应由审计组长和审计员组成。管理良好的审计组是信息安全审计工作顺利实施并达成审计目的的保障。审计组长应由金融机构内部审计部门的管理者任命。负责编制审计方案和审计计划，选择审计员，管理审计小组，与被审计对象沟通等。审计组长应具备较强的项目管理能力，熟悉被审计对象的业务和系统，了解被审计对象面临的信息安全风险和常用的风险控制措施。审计员应选择责任心强、公正、独立、熟悉业务的人员担任，避免审计员与被审计对象存在利害关系，以免影响审计结果的公正性。正式实施信息安全审计前，应对审计组成员进行培训。

4.实施现场审计。审计准备工作就绪后，则可以实施现场审计。现场审计是一项复杂的系统工程，具有较强的不确定性。因此，现场审计应根据事先编制的审计方案和审计计划执行，审计过程中还要做好变更控制。现场审计往往由首次会议开始，至末次会议结束。在首次会议上，审计组长应向被审计单位阐明此次审计的目的、范围、依据和审计计划，并提出需要被审计单位配合的事项。末次会议上，审计组长向被审计单位说明审计发现，报告审计初步结果，并与被审计单位就初步审计结果达成一致。现场审计方法通常包括：现场访谈、审阅文件、查看记录、系统检查和测试等。在系统检查和测试过程中，可能需要相关的审计工具，如系统漏洞扫描器、数据库安全审计系统、桌面终端配置检查工具、网络安全检查工具、恶意软件扫描器等。现场审计过程中，应做好文档化工作。对所发现的审计证据应进行详细记录，并与被审计单位人员进行现场确认。现场审计应注意方式方法，就意见不一致的问题先做好记录，避免现场与被审计单位人员发生争执。

篇12

信息安全的总需求是边界安全、网络安全、主机安全、终端安全、应用安全和数据安全的最终目标，是确保信息机密性、完整性、可用性、可控性和抗抵赖性，以及企业对信息资源的控制［1］。2009年福建公司开展了等级保护工作，结合今年福建公司安全防护体系建设和等保测评成果，证明信息安全防护重点在于管理。现代企业管理实践也证明，任何工作均是3分技术，7分管理。电网企业信息安全工作也不例外，技术只是最基本的手段，规范、科学的管理才是发展根本的保障［2］。

2信息安全防护体系设计

2.1信息安全防护体系总体框架

在对多种信息安全防护体系进行研究分析后，参照ISO/27001信息安全管理标准，根据国家电网公司电网信息安全等级保护“双网双机、分区分域、等级防护、多层防御”原则，提出电网企业的信息安全防护体系框架。电网企业信息安全防护体系建设可从管理和技术层面进行［3］。该体系框架根据规划设计、开发测试、实施上线、运行维护、系统使用和废弃下线6个环节的信息系统生命周期特征制定全过程安全管理;从物理、边界、网络、主机、终端、应用、数据7个方面制定全方位的技术防护措施。

2.2信息安全防护管理体系设计

电网企业信息安全在信息系统建设、运行、维护、管理的全过程中，任何一个环节的疏漏均有可能给信息系统带来危害。根据信息系统全生命周期，从规划设计、开发测试、实施上线、运行维护、系统使用和废弃下线6个环节，设计覆盖信息安全管理、运行、监督、使用职责的安全管控流程［3－4］。

2.2.1网络与信息系统安全管理

网络与信息系统是企业现代化管理的重点。由于网络与信息系统的动态性、复杂性和脆弱性，建立健全的信息安全管理体系已成为了保障网络与信息系统安全的重要手段。网络与信息系统的安全管理依照国家电网公司制定的《国家电网公司信息网络运行管理规程(试行)》，遵循信息安全等级保护“双网双机、分区分域、等级防护、多层防御”的原则。

2.2.2人员安全管理与岗位职责管理

安全问题的特点为“3分技术、7分管理”，而管理的核心是人，对于人员安全管理与岗位职责管理其主要包含如下管理内容:(1)岗位职责。制定岗位责任书，明确各岗位信息安全责任。(2)持证上岗。安全工作人员持证上岗。(3)保密管理。与员工签订保密协议，并定期进行检查与考核。(4)安全培训。对员工进行定期安全培训。(5)离职管理。对离岗离职人员账号、权限及信息资产进行清理和移交。

2.2.3全过程安全管理

(1)系统规划设计安全管理的主要内容包括:1)分析和确认系统安全需求。2)确定系统安全保护等级并备案。3)制定安全防护方案并进行评审。(2)系统研发安全管理的主要内容包括:1)制订研发安全管理机制，确保开发全过程信息安全。2)加强开发环境安全管理，与实际运行环境及办公环境安全隔离。3)严格按照安全防护方案进行安全功能开发并定期进行审查。4)定期对研发单位环境和研发管理流程进行安全督查。(3)系统实施与上线安全管理的主要内容包括:1)严格按照设计方案对网络、主机、数据库、应用系统等进行安全配置。2)严格遵循各项操作规程，避免误操作。3)组织安全测评机构进行上线环境安全测评。4)及时对系统试运行期间发现的安全隐患进行整改。(4)系统运行维护安全管理的主要内容包括:1)遵循运维安全规程，执行各项运维操作。2)对系统安全运行状况进行实时监控，及时采取预警和应急处置措施。3)定期进行安全风险评估、等级保护测评与整改。4)建立系统漏洞补丁的安全测试、分发和安装管理机制。5)根据数据重要性进行数据备份，并定期进行恢复测试。(5)系统使用安全管理的主要内容包括:1)终端准入控制，对各种移动作业、采集、专控等终端进行安全测评。2)终端外联控制，禁止终端跨网络接入。3)系统账号和权限管理，对系统使用人员及其权限进行严格管理。4)终端使用管理，防止终端交叉使用、用户越权访问等。5)终端数据存储、处理时的安全保护。6)对移动存储介质的安全管理。7)终端维修管理，由运维机构统一处理。8)终端下线、报废时的安全管理，对终端数据进行安全处理。(6)系统废弃下线安全管理的主要内容包括:1)评估系统下线对其它系统的安全性影响，制定下线方案并进行评审。2)系统下线前对重要数据进行备份和迁移。3)系统下线后对不再使用的数据与存储介质进行销毁或安全处理。4)系统下线后及时进行备案。

2.2.4系统测试评估安全机制与评价考核

信息系统建成后必须经过试运行并对系统的安全性、可靠性和应急措施进行全面测试，测试和试运行通过后方可投入正式运行，信息安全风险评估包括资产评估、威胁评估、脆弱性评估、现有安全措施评估、风险计算和分析、风险决策和安全建议等评估内容。安全管理机制的主要内容包括:事件管理、安全督查、等保管理、备案管理，应急管理等。

3信息安全防护体系

电网企业信息安全防护体系的设计［5］，主要从物理、边界、网络、主机、终端、应用、数据7个方面进行，遵循环境分离、安全分域、网络隔离、终端准入、补丁加固、数据分级、安全接入、基线配置、应用审计、密钥应用等技术原则，辅以相应的技术措施实现全面的安全防护［6］。

3.1物理安全

物理环境分为室内物理环境和室外物理环境，根据设备部署安装位置的不同，选择相应的防护措施。室内机房物理环境安全需满足对应信息系统安全等级的等级保护物理安全要求，室外设备物理安全需满足国家要求。具体安全措施如下:(1)机房分区、门禁等准入控制。(2)设备物理安全需满足国家对于防盗、电气、环境、噪音、电磁、机械结构、铭牌、防腐蚀、防火、防雷、电源等要求。(3)机柜/机箱应避免可能造成的人身安全隐患，符合安装设备的技术需求。(4)机柜/机箱外应设有警告标记，并能进行实时监控，在遭受破坏时能及时通知监控中心。(5)研发场所分离并采取准入控制

3.2边界安全

边界安全防护目标是使边界的内部不受来自外部的攻击，同时也用于防止恶意的内部人员跨越边界对外实施攻击，或外部人员通过开放接口、隐蔽通道进入内部网络;在发生安全事件前期能够通过对安全日志及入侵检测事件的分析发现攻击企图，安全事件发生后可以提供入侵事件记录以进行审计追踪。

3.3网络安全

网络环境安全防护的目标是防范恶意人员通过网络对网络设备和业务系统进行攻击和信息窃取，在安全事件发生前可以通过集中的日志审计、入侵检测事件分析等手段，以及对信息内外网网络、终端以及防护设备等安全状态的感知和监测，实现安全事件的提前预警;在安全事件发生后可以通过集中的事件审计系统及入侵检测系统进行事件追踪、事件源定位，及时制定相应的安全策略防止事件再次发生;并能实现事后审计，对恶意行为和操作的追查稽核、探测入侵、重建事件和系统条件，生成问题报告。

3.4主机安全

主机系统安全的目标是采用信息保障技术确保业务数据在进入、离开或驻留服务器时保持可用性、完整性和保密性，采用相应的身份认证、访问控制等手段阻止未授权访问，采用主机防火墙、入侵检测等技术确保主机系统的安全，进行事件日志审核以发现入侵企图，在安全事件发生后通过对事件日志的分析进行审计追踪，确认事件对主机的损害程度以进行后续处理。

3.5终端安全

终端安全防护目标是确保智能电网业务系统终端、信息内外网办公计算机终端以及接入信息内、外网的各种业务终端的安全。目前重点终端类型包括:(1)配电网子站终端。(2)信息内、外网办公计算机终端。(3)移动作业终端。(4)信息采集类终端。对于各种终端，需要根据具体终端的类型、应用环境以及通信方式等选择适宜的防护措施。

3.6应用安全

按照国家信息安全等级保护的要求，根据确定的等级，部署身份鉴别及访问控制、数据加密、应用安全加固、应用安全审计、剩余信息保护、抗抵赖、资源控制、等应用层安全防护措施。

3.7数据安全

对数据的安全防护分为数据的灾难恢复、域内数据接口安全防护和域间数据接口安全防护。域内数据接口是指数据交换发生在同一个安全域的内部，由于同一个安全域的不同应用系统之间需要通过网络共享数据，而设置的数据接口;域间数据接口是指发生在不同的安全域间，由于跨安全域的不同应用系统间需要交换数据而设置的数据接口。

4结束语

篇13

(1)物理安全防范较为重视。从物理安全的五项指标来看，被调查的160家医院都非常注重防盗、防水、防雷、防尘、防静电及温湿度控制等物理环境安全防范，绝大部分医院对物理访问控制与物理监控(机房设备管理)也都很重视，分别达到93%与85%，但仅有1/4的医院注重设备检测，说明中国绝大部分医院设备或未做检测即投入运行，或缺乏定期进行安全评估、安全加固等保护，因而我国数字化医院还存在着一定的物理设备安全风险。

(2)系统安全威胁严重。系统安全四项指标中，采用了访问控制及备份与恢复措施的医院分别达到138家与147家，但实地调查显示非授权访问的情况还大量存在。进行系统日志审计的医院不足50家，说明我国医院系统日志还基本流于形式，缺乏深度安全审计，从而很难及时发现其中的安全隐患。进行系统开发与维护的医院也仅54家，原因主要在于目前许多医院由于受人员、设备、资金影响，或本身重视不够，导致其信息系统缺乏运营维护或维护不及时，因此其安全性和可靠性多数处于较差状态。

(3)网络通信安全较为脆弱。网络通信安全五项指标中，网络攻击防护与业务文档记录方面，医院相对比较重视，比例分别达到94%与84%，但实地调查发现其网络攻击防护还处于低水平状态。实行网络隔离与访问控制的医院仅占30%，大多数医院网络访问随意性大，医院网络可随意互访，信息流通和共享畅通无阻，这给医院信息安全带来极大的安全隐患。实行入侵检测的医院不到30%，说明中国数字化医院还处于被动防御阶段，远未达到主动防御水平，同时信息系统的纵深防护水平不高，由此导致数字化医院以计算机病毒、黑客攻击等为代表的安全事件频繁发生。实行密钥管理的医院则仅13%，说明医院网络密钥其实几乎还处于无人监管状态。

(4)人员安全隐患重重。人员安全四项指标调查结果都不容乐观，尤其是进行第三方合作合同的控制和管理的医院仅占10%，说明中国数字化医院在人员安全管理方面还远未重视，由此导致医院内部存在大量网络操作违规现象。如，网络操作人员随意将自己的登录账号转借他人，随意将一些存储介质接入信息系统，未经授权同时访问外网与内网，一些人员为了谋取个人私利，非法访问内部网络，窃取、伪造、篡改医疗数据等，这使得中国数字化医院信息安全事故频频发生。

(5)组织管理安全有待加强。组织管理安全四项指标中，160家医院都设置了安全管理组织机构，说明所有医院都很重视信息安全管理工作，但安全管理制度完整的医院仅114家，且多数在应急管理制度制定方面较为欠缺，而安全管理制度实施情况调查显示，只有40%的医院安全管理制度得到实施，这意味着60%的医院的安全管理制度形同虚设。在人力财力保障方面给予充分保障的医院不到50%，由于缺乏人力财力的保障，目前许多医院信息安全系统建设难以为继。综上所述，中国数字化医院还存在着极大的信息安全隐患。因此，数字化医院信息安全建设已迫在眉睫。

2动态网络安全模型的比较分析

面对复杂多样的信息安全风险以及日益严峻的信息安全局势，动态网络安全模型为中国数字化医院信息安全建设提供了理论基础。典型的动态网络安全模型有PPDR模型、PDRR模型、MPDRR模型和WPDRRC模型等，这些安全模型各有特点，各有侧重，已广泛应用于多个领域的信息安全建设实践。环节。它强调在安全策略的指导下，综合采用防火墙、VPN等安全技术进行防护的同时，利用入侵检测系统等检测工具，发现系统的异常情况，以及可能的攻击行为，并通过关闭端口、中断连接、中断服务等响应措施将系统调整到一个比较安全的状态。其中，安全策略是核心，防护、检测和响应环节组成了一个完整、动态的安全循环，它们共同保证网络系统的信息安全。(2)PDRR模型。PDRR模型是在PPDR模型基础上增加恢复(Recovery)环节发展而来，由防护(Protection)、检测(Detection)、响应(Re-sponse)和恢复(Recovery)四个环节组成(见图2)。其核心思想是在安全策略的指导下，通过采取各种措施对需要保护的对象进行安全防护，并随时进行安全跟踪和检测以了解其安全状态，一旦发现其安全受到攻击或存在安全隐患，则马上采取响应措施，直至恢复安全保护对象的安全状态。与PPDR模型相比，PDRR模型更强调一种故障的自动恢复能力，即系统在被入侵后，能迅速采取相应措施将系统恢复到正常状态，从而保障系统的信息安全。因此，PDRR模型中的安全概念已经从信息安全扩展到了信息保障，信息保障内涵已超出传统的信息安全保密，是防护、检测、响应、恢复的有机结合。

3基于动态网络安全模型的中国数字化医院信息安全体系构建

结合动态网络安全模型，并依据《信息安全技术信息系统安全等级保护基本要求》(GB/T22239—2008)、《信息安全技术信息系统等级保护安全设计技术要求》(GB/T25070—2010)等标准规范，本文试构建一个以信息安全组织机构为核心，以信息安全策略、信息安全管理、信息安全技术为维度的数字化医院信息安全体系三维立体框架。即，在进行数字化医院信息安全建设时，我们应成立一个信息安全组织机构，并以此为中心，通过制定信息安全总体策略、加强信息安全管理，利用各项信息安全技术，并将其贯彻在预警、保护、检测、响应、恢复和反击6个环节中，针对不同的安全威胁，采用不同的安全措施，从而对系统物理设备、系统软件、数据信息等受保护对象进行全方位多层次保护。

(1)信息安全组织机构是数字化医院信息安全体系构成要素中最重要的因素，在信息安全体系中处于核心地位。它由决策机构、管理机构与执行机构三部分组成。其中，决策机构是医院信息安全工作的最高领导机构，负责对医院信息安全工作进行总体规划与宏观领导，其成员由医院主要领导及其他相关职能部门主要负责人组成。管理机构在决策机构的领导下，负责信息安全体系建设规划的制定，以及信息安全的日常管理工作，其成员主要来自于信息化工作部门，也包括行政、人事等部门相关人员参与。执行机构在管理机构的领导下，负责保证信息安全技术的有效运行及日常维护，其成员主要由信息化工作部门相关技术人员及其他相关职能部门的信息安全员组成。信息安全组织机构应对医院信息安全工作进行科学规划，经常进行不定期的信息安全检查、评估和应急安全演练。其中对那些严重危及医院信息安全的行为应进行重点管理和监督，明确信息安全责任制，从而保证信息安全各项工作的有效贯彻与落实。

(2)信息安全策略是数字化医院信息安全得以实现的基础。其具体制定应依据国家信息安全战略的方针政策、法律法规，遵循指导性、原则性、可行性、动态性等原则，按照医疗行业标准规范要求，并结合医院自身的具体情况来进行，由总体方针与分项策略两个层次组成，内容涵盖技术层、管理层等各个层面的安全策略，最终实现“进不来、拿不走、看不懂、改不了、逃不掉”的安全防御目的，即在访问控制机制方面做到“进不来”、授权机制方面做到“拿不走”、加密机制方面做到“看不懂”、数据完整性机制方面做到“改不了”、审计/监控/签名机制方面做到“逃不掉”。

(3)信息安全管理是数字化医院信息安全得以实现的保障。它包括人员管理、技术管理和操作管理等方面。当前中国数字化医院在信息安全管理中普遍存在的问题:在安全管理中对人的因素重视不够、缺乏懂得管理的信息安全技术人员、信息安全意识不强、员工接受的教育和培训不够、安全管理中被动应付的较多等。因此，数字化医院一方面应加强全员信息安全意识，加大信息安全人员的引进、教育与培训力度，提高信息安全管理水平;另一方面应制定具体的信息安全管理制度，以规范与约束相关人员行为，保证信息安全总体策略的贯彻与信息安全技术的实施。

(4)信息安全技术是数字化医院信息安全得以实现的关键。数字化医院信息安全建设涉及防火墙、防病毒、黑客追踪、日志分析、异地容灾、数据加密、安全加固和紧急响应等技术手段，它们贯穿于信息安全预警、保护、检测、响应、恢复与反击六个环节。数字化医院应切实加强这六个环节的技术力量，确保其信息安全得以实现，具体体现在:①预警。医院应通过部署系统监控平台，实现对路由器、交换机、服务器、存储、加密机等系统硬件、操作系统和数据库等系统软件以及各种应用软件的监控和预警，实现设备和应用监控预警;或采用入侵防御系统，分析各种安全报警、日志信息，结合使用网络运维管理系统，实现对各种安全威胁与安全事件的预警;并将这些不同层面的预警，统一到一套集中的监控预警平台或运维管理平台，实现统一展现和集中预警。②保护。主要包括物理安全、系统安全与网络通信安全等方面的安全保护。对于中心机房、交换机、工作站、服务器等物理设备的安全防护，主要注意防水、防雷、防静电以及双机热备等安全防护工作。系统安全主要包括操作系统与数据库系统等的安全防护。操作系统的主要风险在于系统漏洞和文件病毒等。为此，医院需运用防火墙技术控制和管理用户访问权限，并定期做好监视、审计和事件日志记录和分析。所有工作站应取消光驱软驱，屏蔽USB接口，同时为各个客户端安装杀毒软件，并及时更新，从源头上预防系统感染病毒。数据库安全涉及用户安全、数据保密与数据安全等。为此，需对数据库进行权限设置。对于关键数据，应进行加密存储。对于重要数据库应做好多种形式的备份工作，如本地备份与异地备份、全量备份与增量备份等，以保证数据万无一失。对于网络通信安全防护，医院网络应采用物理隔离的双网架构，如果内网确需开展对外的WWW等服务，应单独设置VLAN，结合防火墙设备，通过设置DMZ的方式实现与外界的安全相连。同时，医院应合理的设置网络使用权限，严格进行用户网络密码管理，防止越权操作。③检测。检测是从监视、分析、审计信息网络活动的角度，发现对于信息网络的攻击、破坏活动，提供预警、实时响应、事后分析和系统恢复等方面的支持，使安全防护从单纯的被动防护演进到积极的主动防御。前述防护系统能阻止大部分入侵事件的发生，但是它不能阻止所有的入侵。因此安全策略的另一个重要屏障就是检测。常用工具是入侵检测系统(IDS)和漏洞扫描工具。利用入侵检测系统(IDS)对医院系统信息安全状况进行实时监控，并定期查看入侵检测系统生成的报警日志，可及时发现信息系统是否受到安全攻击。而通过漏洞扫描工具，可及时检测信息系统中关键设备是否存在各种安全漏洞，并针对漏洞扫描结果，对重要信息系统及时进行安全加固。④响应。主要包括审计跟踪、事件报警、事件处理等。医院应在信息系统中部署安全监控与审计设备以及带有自动响应机制的安全技术或设备，当系统受到安全攻击时能及时发出安全事故告警，并自动终止信息系统中发生的安全事件。为了确保医院正常的医疗服务和就医秩序，提高医院应对突发事件的能力，医院还应成立信息安全应急响应小组，专门负责突发事件的处理，当医院信息系统出现故障时，能迅速做出响应，从而将各种损失和社会影响降到最低。其他事件处理则可通过咨询、培训和技术支持等得到妥善解决。⑤恢复。主要包括系统恢复和信息恢复两个方面。系统恢复可通过系统重装、系统升级、软件升级和打补丁等方式得以实现。信息恢复主要针对丢失数据的恢复。数据丢失可能来自于硬件故障、应用程序或数据库损坏、黑客攻击、病毒感染、自然灾害或人为错误。信息恢复跟数据备份工作密切相关，数据备份做得是否充分影响到信息恢复的程度。在信息恢复过程中要注意信息恢复的优先级别。直接影响日常生活和工作的信息必须先恢复，这样可提高信息恢复的效率。另外，恢复工作中如果涉及机密数据，需遵照机密系统的恢复要求。⑥反击。医院可采用入侵防御技术、黑客追踪技术、日志自动备份技术、安全审计技术、计算机在线调查取证分析系统和网络运维管理系统等手段，进行证据收集、追本溯源，实现医院网络安全系统遭遇不法侵害时对各种安全威胁源的反击。

4结束语

篇14

关键词：电力信息系统 信息安全防护 安全域 分级分域

中图分类号：TP309 文献标识码：A 文章编号：1674-098X（2016）12（b）-0100-02

电力公司的安全防护体系根据省、市、县安全防护不同层面防护要求各有侧重、相互支撑、互为补充。根据各信息系统重要程度设计安全防护体系“三横四纵”的总体架，建立信息安全防护体系。

1 信息安全防护策略设计目标

信息安全保障体系的建设紧紧围绕安全管理、安全技术和安全运维3个方面，在每个方面都有相应的具体目标。达到这个目标就能为综合服务平台构建一个多层次、多角度的立体纵深防御体系。

安全管理的建设目标：

确定安全组织和责任划分，确定安全策略，确定信息资产分类和分级。

实现安全变更管理、安全补丁管理、安全备份管理、应急响应计划、业务持续性计划、安全核心流程。

安全培训与教育、安全控制要求：

对信息资产进行风险评估，达到ISO27001管理标准。

安全技术的建设目标：

根据业务需求划分不同的安全域，安全边界进行防护。

实现安全系统强化功能、建立网络和主机入侵检测机制、实现高危数据加密传输、关键系统的日志审计、建立病毒防范体系、建立身份认证体系、访问控制体系、远程访问安全机制。

建立数据安全存储体系、时间同步机制、集中安全审计体系、安全事件管理平台。

安全运维的建设目标：

建立定期风险评估机制。

定期对日志进行审计、定期进行渗透测试。

完善安全信息上报机制、定期对安全策略和标准进行评估和修订。

显示安全的运维外包。

2 电力信息安全建设体系内容

电力信息系统信息安全保障体系采用了“三横四纵”的总体架构，即横向上分为3个层次，分别为应用层、技术层、管理层；技术层次中纵向又分为4种主要体系，即以基础安全服务设施、数据安全保护、网络接入保护、平台安全管理为支柱，信息安全基础设施为基础，通过信息安全管理体系为业务应用提供可靠的安全保障。

一是应用层。这是安全保障体系的主要对象。信息化建设的终极目标是提供给用户好用、易用、够用的应用系统，应用系统是为了满足不同用户的不同业务需求，安全保障体系保障的核心就是应用系统及其数据。

二是技术层。这是信息安全保障体系的主要体系。目前包括技术支撑体系、技术保障体系、网络信任体系、安全服务体系。这4种体系已经经过多年的探索和建立，应该说已经覆盖了技术上的所有方面。

三是管理层。包括等级保护安全策略、安全管理制度、法律法规和技术标准。通常说“三分技术、七分管理”，再好的技术也需要完善的管理才能保证技术发挥最大的效能。

3 信息安全防护设计

电力系统是一个由内网、外网两种网络域构成的庞大信息系统。各个网络域执行着不同的服务内容：内网是一个完整的电力系统办公自动化环境，外网担负着与公众间信息沟通的责任。

如此复杂的应用环境给系统带来了大量潜在的安全隐患：黑客利用外网或专网攻击内部网络、数据在传输过程中的泄露、网页遭篡改、伪造身份进入系统、操作系统漏洞、病毒等。这些安全隐患不可能依靠某种单一的安全技术就能得到解决，必须在电力信息系统整体安全需求的基础上构筑一个完整的安全服务体系。

构建一个完整的安全防护体系有组织地实现上述安全需求，我们提出的安全保障平台由基础安全服务设施、数据安全保护、网络接入保护、平台安全管理组成。

（1）基础安全服务设施。

基础安全服务设施防护设计主要包括部署平台的应用系统的身份认证与访问控制、基础环境安全保护（访问控制、防火墙、入侵检测、安全审计、VPN）。

（2）数据安全保护。

数据安全保护方案是为部署在电力信息系统提供数据传输、数据访问和数据存储备份恢复的安全保障措施，主要分为4类：应用保护、数据传输交换保护、数据备份与恢复设计。

（3）网络接入保护。

统一管理集中建设互联网接入点，实现电力各部门互联网的安全接入和可管可控可剥离；各部门在统一的安全技术体系下，根据各自信息下发指令信息包括针对省级安全等级，建设、升级、完善安全系统；依托平台建设省级安全接入机制，实现与接入统一监控、统一管理和统一服务。

（4）平台安全管理。

安全管理体系是信息安全保障体系建设的一个重要环节，安全管理体系的建设内容包括：建立完善等级保护安全管理机构、安全管理制度、人员安全管理、系统建设运维管理、系统运维管理。

4 结语

该课题对电力公司信息安全防护策略和防护设计进行研究，电力信息化安全服务平台也基于电力信息系统安全需求设计安全防护体系，面向系统管理员、安全管理员提供安全保障，为各级信息化安全管理对安全监管、信息共享和提供安全保障支撑。

参考文献

[1] 高鹏，范杰，郭骞.电力系统信息安全技术督查策略研究[C]//电力通信管理暨智能电网通信技术论坛论文集.2012.

[2] 余勇，林为民，俞钢.电力信息系统安全保障体系的研究[C]//2004年世界工程师大会电力和能源分会场论文集.2004.

[3] 陈秋园.浅谈电力系统信息安全的防护措施[J].科技资讯，2011（14）：147.