安全审计服务规范精选(五篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的5篇安全审计服务规范，期待它们能激发您的灵感。

篇1

电子业务系统安全审计体系的研究与建设

结合山东局综合管理体系建设要求，首先，对各业务系统从管理者和使用者两个层面明确职责，规定相应的口令管理制度、授权管理制度、系统操作规程（作业指导书）等业务系统运行规章制度及有关记录表格。二是，针对各业务系统制定安全审计规范，利用内部审计及外部审计来评估业务系统安全漏洞，规划审计策略，明确审计目标，确定日常安全审计及集中安全审计任务和手段，并对审计结果进行评估分析，制定纠正措施。三是，结合山东局绩效考核管理办法，将安全审计结果纳入绩效考核，已达到从制度上约束行为的目的。各电子业务系统的开发应按照我们制定的安全审计规范要求建立安全审计模块，每个用户登录系统、进入应用，一直到使用各个应用模块都可以进行访问日志记录，安全审计模块可以调用日志SDK的API，根据应用规则来记录各种日志。日志可以是分为安全日志、系统日志、数据变更日志等等可以由系统安全管理人员随时调阅，以达到安全审计的目的。针对业务系统具体环节分析风险点，根据制定的安全控制规范，应用于各电子业务系统，开发安全审计系统，进行风险布控、监控设定、自动预警与自动核查，对业务系统全过程监控。由于目前业务系统数量众多，数据处理不同，进行安全审计系统开发时需针对各业务系统进行分析归纳，特别是CIQ2000综合业务管理系统作为检验检疫电子业务的主干系统，数据处理过程的质量决定着业务工作的质量，我们首先从CIQ2000业务管理系统入手试点，对CIQ2000综合业务管理系统实施全过程监控，监控账户的合法性、权限的合理性、登录及操作行为的可追溯性、数据修改的安全性等，对用户行为实施有效监督、约束，规范行为，保证工作质量。对CIQ2000综合业务系统进行安全审计主要分以下几方面:1）用户操作行为日志审查常规监测及时收集和分析CIQ2000系统本身提供的系统登录、业务操作、流程控制、权限等信息，通过设定逻辑严密、科学合理的审计规则，根据用户登录时间、状态和业务操作记录等数据，发现异常登录和非法操作，在系统界面进行展示，并形成报表。特殊监测根据业务和系统管理需要，对特殊时间段、特殊业务操作进行特殊监测，通过触发器收集关键业务对象、关键数据的变更情况，记录操作人的登录信息和操作信息。如对关键业务数据的操作及修改过程（如计收费数据的修改、不合格结果登记修改为合格结果登记、未经检务操作擅自添加证书、拦截数据人工干预放行等）进行过程记录。2）用户密码审查根据制订的密码审计规则，自动检查指定机构下的用户及密码，查找密码为空或者密码设置不符合安全规范的用户，在系统界面展示并可形成报表。3）重复用户检查根据同一用户在统一机构下不得同时拥有两个可以同时使用的用户账号原则，自动检查指定机构下的用户，检查是否在同一机构具有同时在岗的重名用户。4）用户权限检查自动检查指定机构下的用户及使用权限，查找具有分配全业务流程的用户，也可查找具有指定权限的用户。5）安全事件警告根据对业务系统各关键环节和关键对象数据的采集和分析，对可能存在信息安全隐患的环节给予相应级别的告警。告警方式包括：界面查看、短信预警、邮件预警。6）系统服务用户管理选项设置安全审计告警策略安全事件确认审计对象配置助手对于以上审计内容，通过布控，可以实现实时监控，发现违规操作及时报警，也可以进行统计查询、数据分析，防患于未然。通过安全审计系统的运行，特别是对CIQ2000综合业务管理系统的安全审计，发现高风险监控点，进一步对体系进行验证完善，通过两方面的互补，保证业务系统的安全合规运行。通过以上步骤，制定我局电子业务系统安全审计规范并正式下发执行，建立检验检疫电子业务系统安全审计体系。并通过CIQ2000综合业务安全审计系统应用实例进行验证优化，并以此成功案例进行推广、全面开展对山东局电子业务安全审计系统的建设与发展。

电子业务系统安全审计体系研究技术方面

电子业务安全审计系统建设技术方面1）使用统一开发平台的UIP-SDP框架开发。该框架提供轻量级的框架，框架遵照MVC的通用设计模式；采用面向服务体系结构(SOA)及组件化的设计思想，便于系统的复用和集成；包含大量公共的、实用性的组件和控件，并且提供了一般业务系统底层的最基本模块，可以轻松集成到业务系统之中。2）框架提供了通用的前后台校验机制、统一的分页处理、基于AJAX的局部刷新功能、多文件上载的功能、基于数字证书的认证方式、灵活、实用的规则引擎、基于配置的任务调度功能、基于配置的事务处理、统一的日志管理、方便快捷的单元测试、子模块基于XML的单独配置3）系统由数据采集层、事件管理层、运行管理层构成。山东检验检疫电子业务系统安全审计体系（图略）。电子业务安全审计系统建设技术规范方面采用标准的Linux、Unix操作系统建立基础平台采用统一的Oracle数据库建立数据中心平台采用先进的软件工程设计方法，满足系统的先进性、可靠性、可伸缩性、可扩展性复杂的商业规则的实现集中由应用服务器实现，可随业务量增长而轻松扩展采用流行的B/S架构，实现零客户端采用先进AJAX、WebService技术采用XML技术，规范信息交换格式和数据交换流程采用统一的消息中间件实现数据交换可以采用CA认证及SSL128位加密技术，确保通讯的安全性4结论通过建设安全审计体系建设，可以从制度上规范行为；审计系统的开发运行可以利用技术手段实现业务监控、工作质量稽查及用户行为审计，自动查找违规现象，及时通知相关单位整改，以查促管，防患于未然；审计的结果反过来促进制度的建设，最终保证检验检疫业务的正常运转。

作者：田建荣 宋琳琳 陈鹏 王宏志 郭曙超 单位：山东出入境检验检疫局

篇2

据电子政务的有关安全调查统计:11%的安全问题导致网络数据破坏，14%的安全问题导致数据失密。从恶意攻击的特点来看，美国FBI统计的结果是65%的攻击来自网络系统内部。

安全设计本身的不完备性也往往构成网络新的安全风险。新的风险点、新的漏洞被发现、新的攻击技术手段被利用等管理安全问题会随时出现。所以，安全管理要求考虑网络系统的安全配置、正常运行、安全操作、应急响应等一系列问题，而解决这些问题的一个关键技术就是对电子政务系统的安全审计。

电子政务的安全管理可以通过安全评估、安全政策、安全标准、安全审计等四个环节来加以规范并进而实现有效的管理。目前，安全审计已经成为电子政务系统中的重要环节。早在2002年，安全审计已被正式定为电子政务建设十大标准之一。

虽然很多的国际规范以及国内对重要网络的安全规定中都将安全审计放在重要的位置，然而大部分的用户和专家对安全审计这个概念的理解不统一，都认为是“日志记录”的功能。如果仅仅是日志功能就满足安全审计的需求，那么目前绝大部分的操作系统、网络设备、网管系统都有不同程度的日志功能，大多数的网络系统都满足了安全审计的需求。但是实际上这些日志根本不能保障系统的安全，而且也无法满足事后的侦察和取证应用。安全审计并非日志功能的简单改进也并非等同入侵检测。

那么，电子政务的安全审计如何实施呢，现在的安全工程可要求从四个方面来把握。

首先，要把握和控制好数据的来源，比如来自网络数据截获;来自系统、网络、防火墙、中间件等系统的日志;嵌入模块，主动收集系统内部事件;通过网络主动访问，获取信息;来自应用系统、安全系统等。有数据源的要积极获取，无数据源的要设法生成数据。对收集数据的性质也要分已经经过分析和判断的数据和未分析的原始数据不同处理。另外，内部数据要通过转换形成统一的表示规范。

其次，分析机制需要具备评判异常、违规的依据，与安全策略相关。分为实时分析和事后分析。实时分析:提供或获取数据的设备/软件具备预分析能力，并能够进行第一道筛选。事后分析:维护审计数据的机构对审计记录的事后分析，包括统计分析和数据挖掘。

篇3

 

根据相关统计机构提供的数据，目前有60%以上的网络人侵和破坏是来自网络内部的，因为网络内部的人员对于自己的网络更加熟悉，而且有一定的授权，掌握一定的密码，又位于防火墙的后端，进行入侵或破坏更加得心应手。一个内部人员不必掌握很多黑客技术就能够对系统造成重大的损失。因此信息安全审计的功能越发受到重视。

 

对于一个信息系统而言，信息安全审计究竟要实现怎样的功能,要实现到怎样的程度，目前大多数的单位并未真正理解,不少单位对于信息安全审计的认识还停留在日志记录的层次。一些信息安全测评认证标准可以为我们提供一定的借鉴。

 

1998年，国际标准化组织(ISO)和国际电工委员会(IEC)发表了《信息技术安全性评估通用准则2.0版》(IS0/IEC15408),简称CC准则或CC标准。CC准则是信息技术安全性通用评估准则,用来评估信息系统或者信息产品的安全性。在CC准则中，对网络安全审计定义了一套完整的功能，如:安全审计自动响应、安全审计事件生成、安全审计分析、安全审计浏览、安全审计事件存储、安全审计事件选择等。

 

TCSEC(TrustedComputerSystemEvaluationCriteria)准则俗称橙皮书，是美国国防部的一个准则,用于评估自动信息数据处理系统产品的安全措施的有效性。它定义了一些基本的安全需求，如:policy、accountability、assurance等。accountability提出了“安全审计”的基本要求，包括：审计信息必须被有选择地保留和保护，与安全有关的活动能够被追溯到负责方，系统应能够选择记录与安全有关的信息，以便将审计的开销降到最小，并可以进行有效的分析。

 

计算机信息系统安全保护等级划分准则中，定义了五个级别:第一级:用户自主保护级;第二级:系统审计保护级;第三级：安全标记保护级;第四级:结构化保护级;第五级:访问验证保护级。从第二个级别开始就需要基本的审计功能，越高的级别对于审计的要求也越高。第二级别的审计要求就包括:计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它访问或破坏。

 

具体来说，计算机信息系统可信计算基应能记录下述事件：使用身份鉴别机制;将客体引人用户地址空间(例如:打开文件、程序初始化);删除客体;由操作员、系统管理员或系统安全管理员实施的动作，以及其他与系统安全有关的事件。对于每一事件，其审计记录包括:事件的日期和时间、用户、事件类型、事件是否成功。对于身份鉴别事件，审计记录包含请求的来源(例如：终端标识符);对于客体引人用户地址空间的事件及客体删除事件,审计记录包含客体名。对不能由计算机信息系统可信计算基独立分辨的审计事件,审计机制提供审计记录接口，可由授权主体调用。

 

从上面可以看出，很多的国际规范以及国内的安全规定中都将安全审计放在重要的位置，而安全审计并不像许多用户所理解的只是“日志记录”的功能。目前绝大部分的操作系统、网络设备、网管系统都有不同程度的日志记录功能，但是实际上这些日志并不能保障系统的安全，也无法满足事件的侦察和取证应用。各类测评认证标准为我们实现完整的信息安全审计提供了指导，但是如何建设审计系统则需要在这些原则的指导下，具体问题具体分析,根据系统状况、自身安全需求以及当前技术的支持程度来定制审计系统。

 

2重要领域信息系统面临的安全挑战

 

随着信息技术的迅速发展，许多单位和部门对信息系统的依赖性日益严重,尤其是一些重要领域(如电子政务、金融、证券等)的信息系统，一旦出现问题将带来巨大的损失。重要领域的信息系统将面临来自外部或内部的各种攻击,包括基于侦听、截获、窃取、破译、业务流量分析、电磁信息提取等技术的被动攻击和基于修改、伪造、破坏、冒充、病毒扩散等技术的主动攻击。

 

信息系统面临的安全威胁来自多个方面。首先，目前大部分信息系统选用的系统本身存在着安全隐患，如网络硬件设备(服务器、网络设备等)和操作平台(操作系统、数据库系统、通用软件系统等)存在弱点和漏洞。应用软件系统的脆弱性、应用系统的BUG、代码错误、不安全代码的执行模式、不安全设计、网络的脆弱性、网络协议的开放性(TCP/IP协议栈)、系统的相互依赖性都会导致网络的安全风险。此外，安全设计本身的不完备性、网络安全管理人员对系统漏洞的置若罔闻都会使攻击行为得以成功。因此，信息系统的安全方案中要综合考虑网络系统的安全配置、正常运行、安全操作、应急响应、安全审计等问题。

 

3重要领域信息系统中的信息安全审计需求

 

在重要领域信息系统的众多安全问题中，内部的安全违规问题尤其值得重视。内部人员违规一般有两种形式:一种是内部人员的违规操作，造成的后果是影响系统的安全;另一种是有目的地窃取资源。

 

最近几年网络安全领域主要强调的是如何防范外部人侵，如怎么建网关、建防火墙、实现内外网的物理隔离等，但是堡垒最容易从内部攻破，信息最容易从内部丢失。解决内部人员违规的一个重要手段是对重要领域信息系统实行高强度的安全审计。所谓的强审计不是简单的“日志记录“,而是增强的、全方位、多层次、分布式的安全审计,覆盖网络系统、操作系统、各类应用系统(如\^1)、£-11^1、]\(^£3^(;11&1^、081^)等,对各种未授权或非法的活动实时报警、阻断等。

 

安全强审计与一般的安全审计相比在以下几个方面得到增强:信息收集能力;信息分析能力;适应性;防绕过特性;信息保护特性;审计深度和针对性;规范化、标准化和开放性。

 

在重要领域信息系统中，信息安全审计的重点如下：

 

(1)网络通信系统

 

重要领域信息系统的普遍特点是网络流量一般不是很高，但是网上传输的可能是机密或敏感的信息，因此除了需要具备一般企业内部网所需要的人侵检测功能之外，还需要具备以下审计功能，以发现内部网络上的违规行为:对网络流量中典型协议分析、识别、判断和记录;对了61賊、1111?、£-11^1、1^?、网上聊天、文件共享操作的还原和记录;对网络流量进行监测以及对异常流量的识别和报警;对网络设备运行进行持续的监测。

 

⑵重要服务器

 

重要领域信息系统中，重要服务器是信息的集中点,需要对其进行增强的审计，以保护信息资源，对以下事件的审计是最基础的安全审计功能:服务器系统启动、运行情况;管理员登录、操作情况;系统配置更改(如注册表、配置文件、用户系统等);病毒或蠕虫感染情况;资源消耗情况;硬盘、CPU、内存、网络负载、进程等;操作系统安全日志;系统内部事件;对重要文件的访问。

 

(3)应用平台

 

仅仅对服务器系统层次的审计还是不够的，因为目前大量重要领域信息系统的应用平台在权限控制方面还有一定的缺陷，因此存在通过应用平台进行违规操作的可能性，例如:直接操作数据库的行为。因此，应用平台层次的安全审计也是必须的，审计内容包括:重要应用平台进程的运行;Web服务器、Mail服务器、Lotus、Exchange服务器、中间件系统;各个平台的健康状况;重要数据库的操作;数据库的进程;绕过应用软件直接操作数据库的违规访问行为;数据库配置的更改操作;数据备份操作和其他维护管理操作;对重要数据的访问和更改操作。

 

(4)重要应用系统

 

由于不少重要领域信息系统中已经建立了一系列的应用业务系统，因此对于一般的操作人员来说，业务系统是最主要的人机界面，对于有高安全需求的重要领域信息系统来说，还需要加强应用系统层次的审计。如对于电子政务系统，针对以下应用系统的审计是最基本的:办公自动化系统、公文流转和操作、网站系统、相关政务业务系统。

 

⑶重要网络区域的客户机

 

在一般的信息系统中，对客户机的审计通常不是必要的。但是对于一些安全级别较高的信息系统的重要网络区域，针对客户机的审计还是必要的，主要审计以下内容:病毒感染情况;通过网络进行的文件共享操作;文件拷贝、打印操作;通过Modem擅自连接外网的情况;非业务异常软件的安装和运行。

 

重要领域信息系统中的安全审计系统建设的要点

 

在重要领域信息系统中，一个较为全面的审计系统需要关注以下几点：

 

(1)数据的来源

 

审计系统如何获取所需的数据通常是最关键的，数据一般来源于以下几种方式:来自网络数据截获，如各类网络监听型的人侵检测和审计系统;来自系统、网络、防火墙、中间件等系统的日志(通常通过文件、syslog、SNMP、OPSE等机制获取日志);通过嵌入模块，主动收集系统内部事件;通过网络主动访问，获取信息(如扫描,HTTP访问等);来自应用系统、安全系统的审计接口。

 

在重要领域信息系统中的安全审计系统的建设中，尤其需要考虑强制获取数据的机制，即:有数据源的，通过审计系统来获取;无数据源的，要设法生成数据，进行审计。这也是强审计和一般的日志收集系统的区别之一。目前，各类wrapper技术是强制生成审计数据源的有效手段之一。

 

另外，在数据源方面，还需要关注所收集数据的性质，有些数据是已经经过分析和判断的数据，有些数据是未分析的原始数据,不同的数据要采用不同的处理机制。此外在很多系统中可能需要根据实际情况定制数据转化的功能。

 

(2)审计系统的分析机制

 

审计系统需具备评判异常、违规的能力，一个没有分析机制的审计系统虽然理论上可以获取和记录所有的信息，但实际上在需要多层次审计的环境中是不能发挥作用的。审计系统的分析机制通常包括:实时分析，提供或获取数据的设备/软件应具备预分析能力，并能够进行第一道筛选;事后分析，维护审计数据的机构对审计记录的事后分析,事后分析通常包括统计分析和数据挖掘两种技术。对于重要领域的信息系统来说,两方面的分析机制都是需要的，一般情况下审计系统都应具备实时分析能力，如果条件允许,也应具备事后分析的能力。

 

⑶与原有系统的关系

 

通常一般企业构建安全审计系统时，仅仅采用一些入侵检测系统就满足需求了，与原有系统关系不大。但是在重要领域信息系统中，需要实现多层次多角度的安全强审计，因此审计系统必然和原有的系统有一定的关系。通常，审计系统与原有系统的关系包括：完全透明型，原有系统根本察觉不到审计系统的存在;松散嵌入型，基本上不改变原有系统;紧密嵌人型，需要原有系统的平台层和部分应用做出较大改变;一体化设计，系统设计之初就考虑审计功能，所有模块都有与审计系统的接口。

 

如何在实现审计的同时确保原有系统的正常运转是审计系统构建的关键，要尽量做到最小修改和影响系统性能最小。

 

(4)如何保证审计功能不被绕过

 

有了安全审计的措施，必然会有各类绕过审计系统的手段。而在重要领域的信息系统中，审计系统如果被轻易绕过将导致严重的后果。所以在建设审计系统时，需要充分考虑审计系统的防绕特性。通常可以采用以下手段增强审计系统的防绕性:通过技术手段保证的强制审计，如网络监听和wrapper机制;通过不同审计数据的相互印证,发现绕过审计系统的行为;通过对审计记录的一致性检查，发现绕过审计系统的行为;采用相应的管理手段，从多角度保证审计措施的有力贯彻。

 

(5)对审计数据的有效利用

 

如果光建立一个审计系统，而缺乏对审计数据的深度利用将无法发挥审计系统的作用。可以考虑以下的措施:根据需求，进行二次开发，对审计数据进行深人的再分析，可以充分利用成熟的分析系统，实现关联分析、异常点分析、宏观决策支持等高层审计功能;对审计系统中安全事件建立相应的处理流程，并加强对事件处理的审计与评估;根据审计数据，对不同的安全部件建立有效的响应与联动措施;针对审计记录，有目的地进行应急处理以及预案和演习;建立相应的管理机制，实现技术和管理的有机结合。

篇4

论文摘要：本文强调审计工作的安全、高效和信息化，从审计工作的现状、发展瓶颈到信息化审计的制度健全、引入主机系统安全审计、业务系统安全审计等相关管理办法、新技术或新理念和待解决的问题等方面，论述构建安全高效的审计信息化安全保障体系的措施。

审计是客观评价个人，组织、制度、程序、项目或产品。审计执行是以确定有效性和可靠性的信息，还提供了一个可内控的评估系统。审计的目标是表达人、组织、系统等的评估意见，审计人员在测试环境中进行评估工作。审计必须出示合理并基本无误的报表，通常是利用统计抽样来完成。审计也是用来考察和防止虚假数据及欺骗行为，检查、考证目标的完整性、准确性，以及检查目标是否符合既定的标准、尺度和其它审计准则。实现审计的信息化，有利于管理层迅速准确的做出决定，对于政企业发展、社会经济的进步都具有重要作用。目前，我国的审计工作尚存在性质认定模糊、工作范围过于狭窄等问题，有待进一步加强和改进。

审计的基础工作是内部审计，内审是审计监督体系中不可或缺的重要组成部分，是全面经济管理必不可少的手段，是加强任何机构内部管理的必要，推动经济管理向科学化方向发展的重要环节也是审计。因此说审计部门是其他监督部门不能代替的，促进党风廉政建设、加强对党政领导干部及管理人员的监督都可以通过审计来完成。审计应用与高新技术机构中，在防范风险中发挥着重要作用，也有助于领导层做出正确决策。

一、审计工作的现状及存在的问题

随着我国经济迅猛发展，审计监督力度不断增强，审计范围也不断扩大。当前，审计方式已由财政财务审计向效益审计发展，由账项基础审计向制度基础审计、风险基础审计发展，由事后审计向事中、事前审计发展。审计管理上建立审计质量控制体系，要求审计机关把审计管理工作前移，把质量控制体系贯穿与审计工作中。在此趋势下，传统的审计方法暴露出其效率低、审计范围小等劣势，使得完成审计任务，达到审计目标越发缺乏及时性。

(一)内部审计性质认定较为模糊。内部审计是市场经济条件下，基于加强经营管理的内在需要，也是内部审计赖以存在的客观基础。但是，现代内部审计的产生却是一个行政命令产物，强调外向。这种审计模式使人们对内部审计在性质认定上产生模糊，阻碍了内部审计的发展。内部审计很难融入经营管理中，审计工作很难正常开展，很难履行监督评价职能和开展保证咨询活动，因此就不能充分发挥其应有的内向的作用。

(二)内部审计工作范围过于狭窄。内部审计的目的在于为组织增加价值并提高组织的运作效率，其职能是监督和服务。但是，我国内部审计工作的重心局限在财务收支的真实性及合规性审计。长久以来内部审计突出了监督职能，而忽视了服务职能。内部审计认识水平、思想观念的束缚以及管理体制等诸多因素，影响和阻碍着内审作用的有效发挥。原因有会计人员知识水平、业务素质不高，也有不重视法律、法规的因素，还有监管不力、查处不严的原因。目前内部审计尚处在查错阶段，停留在调账、纠正错误上，还不能多角度、深层次分析问题，没有较国际先进的审计理念，我国内部审计的作用尚待开发。审计人员的计算机知识匮乏，不适应电算化、信息化的迅速发展。目前多数审计人员硬件知识掌握不熟练，软件知识了解也不足，因此不能有效地评估信息系统的安全性、效益性。由于计算机审计软件开发标准不同，功能也不完整，因此全面推广计算机辅助审计就有一定难度，导致审计人员的知识和审计手段滞后于信息化的发展。

二、信息化审计体系的健全

当前国家审计信息化发展的趋势是建立审计信息资源的标准化、共享化、公开化，逐步达到向现代审计方式的转变。这一趋势是随着当前科学发展、和谐社会的推进，国家确立的公共财政建设、公共服务的实施、公共产品的提供应运而生的，三个“公共”的主旨是：国家财政资金的使用更注重民生；使用重点更注重服务；使用效益更注重民意。

信息安全审计是任何机构内控、信息系统治理、安全风险控制等不可或缺的关键手段。收集并评估证据以决定一个计算机系统是否有效地做到保护资产、维护数据完整、完成目标，同时能更经济的使用资源。信息安全审计与信息安全管理密切相关，信息安全审计的主要依据是出于不同的角度提出的控制体系的信息安全管理相关的标准。这些控制体系下的信息化审计可以有效地控制信息安全，从而达到安全审计的目的，提高信息系统的安全性。由此，国际组织也制定了相关文件规范填补信息系统审计方面的某些空白。例如《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准。我国法律也针对信息安全审计制定出了《中华人民共和国审计法》、《国务院办公厅关利用计算机信息系统开展审计工作有关的通知》等文件，基本规范了内部审计机制，健全了内部审计机构；强调机构应加强内审工作，机构内部要形成有权就有责、用权受监督的最佳氛围；审计委员会直接对领导班子负责，其成员需具有相应的独立性，委员会成员具良好的职业操守和能力，内审人员应当具备内审人员从业资格，其工作范围不应受到人为限制。内部审计机构对审计过程中发现的重大问题，视具体情况，可以直接向审计委员会或者领导层报告。 转贴于 　三、主机系统安全审计

信息技术审计，或信息系统审计，是一个信息技术基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。

以技术划分，信息化安全审计主要分为主机审计、网络审计、应用审计、数据库审计，综合审计。简单的说获取、记录被审计主机的状态信息和敏感操作就是主机审计，主机审计可以从已有的系统审计记录中提取相关信息，并以审计规则为标准来分析判断被审计主机是否存在违规行为。总之，为了在最大限度保障安全的基础上找到最佳途径使得业务正常工作的一切行为及手段，而对计算机信息系统的薄弱环节进行检测、评估及分析，都可称作安全审计。

主机安全审计系统中事件产生器、分析器和响应单元已经分别以智能审计主机、系统中心、管理与报警处置控制台来替代。实现主机安全系统的审计包括系统安全审计、主机应用安全审计及用户行为审计。智能审计替代主机安装在网络计算机用户上，并按照设计思路监视用户操作行为，同时智能分析事件安全。从面向防护的对象可将主机安全审计系统分为系统安全审计、主机应用安全审计、用户行为审计、移动数据防护审计等方面。

四、待解决的若干问题

计算机与信息系统广泛使用，如何加强对终端用户计算机的安全管理成为一个急需解决的问题。这就需要建立一个信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。

保护网络设备、设施、介质，对操作系统、数据库及服务系统进行漏洞修补和安全加固，对服务器建立严格审核。在安全管理上完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理，形成一套比较完备的信息系统安全管理保障体系。

防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。VPN可以通过一个公用网络建立一个临时的、安垒的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。借助专业的防DDos系统，可以有效的阻止恶意攻击。信息系统的安全需求是全方位的、系统的、整体的，需要从技术、管理等方面进行全面的安全设计和建设，有效提高信息系统的防护、检侧、响应、恢复能力，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。严格的安全管理制度，明确的安全职责划分，合理的人员角色定义，都可以在很大程度上减少网络的安全隐患。

从战略高度充分认识信息安全的重要性和紧迫性。健全安全管理组织体系，明确安全管理的相关组织、机构和职责，建立集中统一、分工协作、各司其职的安全管理责任机制。为了确保突发重大安全事件时，能得到及时的响应和支援，信息系统必须建立和逐步完善应急响应支援体系，确保整个信息系统的安全稳定运行。

参考文献：

[1]宋新月，内部审计在经济管理中的重要作用浅析[J]，知识经济，2009

篇5

关键词：审计；信息化，安全保障体系；主机审计

审计是客观评价个人，组织、制度、程序、项目或产品。审计执行是以确定有效性和可靠性的信息，还提供了一个可内控的评估系统。审计的目标是表达人、组织、系统等的评估意见，审计人员在测试环境中进行评估工作。审计必须出示合理并基本无误的报表，通常是利用统计抽样来完成。审计也是用来考察和防止虚假数据及欺骗行为，检查、考证目标的完整性、准确性，以及检查目标是否符合既定的标准、尺度和其它审计准则。实现审计的信息化，有利于管理层迅速准确的做出决定，对于政企业发展、社会经济的进步都具有重要作用。目前，我国的审计工作尚存在性质认定模糊、工作范围过于狭窄等问题，有待进一步加强和改进。

审计的基础工作是内部审计，内审是审计监督体系中不可或缺的重要组成部分，是全面经济管理必不可少的手段，是加强任何机构内部管理的必要，推动经济管理向科学化方向发展的重要环节也是审计。因此说审计部门是其他监督部门不能代替的，促进党风廉政建设、加强对党政领导干部及管理人员的监督都可以通过审计来完成。审计应用与高新技术机构中，在防范风险中发挥着重要作用，也有助于领导层做出正确决策。

一、审计工作的现状及存在的问题

随着我国经济迅猛发展，审计监督力度不断增强，审计范围也不断扩大。当前，审计方式已由财政财务审计向效益审计发展，由账项基础审计向制度基础审计、风险基础审计发展，由事后审计向事中、事前审计发展。审计管理上建立审计质量控制体系，要求审计机关把审计管理工作前移，把质量控制体系贯穿与审计工作中。在此趋势下，传统的审计方法暴露出其效率低、审计范围小等劣势，使得完成审计任务，达到审计目标越发缺乏及时性。

(一)内部审计性质认定较为模糊。内部审计是市场经济条件下，基于加强经营管理的内在需要，也是内部审计赖以存在的客观基础。但是，现代内部审计的产生却是一个行政命令产物，强调外向。这种审计模式使人们对内部审计在性质认定上产生模糊，阻碍了内部审计的发展。内部审计很难融入经营管理中，审计工作很难正常开展，很难履行监督评价职能和开展保证咨询活动，因此就不能充分发挥其应有的内向的作用。

(二)内部审计工作范围过于狭窄。内部审计的目的在于为组织增加价值并提高组织的运作效率，其职能是监督和服务。但是，我国内部审计工作的重心局限在财务收支的真实性及合规性审计。长久以来内部审计突出了监督职能，而忽视了服务职能。内部审计认识水平、思想观念的束缚以及管理体制等诸多因素，影响和阻碍着内审作用的有效发挥。原因有会计人员知识水平、业务素质不高，也有不重视法律、法规的因素，还有监管不力、查处不严的原因。目前内部审计尚处在查错阶段，停留在调账、纠正错误上，还不能多角度、深层次分析问题，没有较国际先进的审计理念，我国内部审计的作用尚待开发。审计人员的计算机知识匮乏，不适应电算化、信息化的迅速发展。目前多数审计人员硬件知识掌握不熟练，软件知识了解也不足，因此不能有效地评估信息系统的安全性、效益性。由于计算机审计软件开发标准不同，功能也不完整，因此全面推广计算机辅助审计就有一定难度，导致审计人员的知识和审计手段滞后于信息化的发展。

二、信息化审计体系的健全

当前国家审计信息化发展的趋势是建立审计信息资源的标准化、共享化、公开化，逐步达到向现代审计方式的转变。这一趋势是随着当前科学发展、和谐社会的推进，国家确立的公共财政建设、公共服务的实施、公共产品的提供应运而生的，三个“公共”的主旨是：国家财政资金的使用更注重民生；使用重点更注重服务；使用效益更注重民意。

信息安全审计是任何机构内控、信息系统治理、安全风险控制等不可或缺的关键手段。收集并评估证据以决定一个计算机系统是否有效地做到保护资产、维护数据完整、完成目标，同时能更经济的使用资源。信息安全审计与信息安全管理密切相关，信息安全审计的主要依据是出于不同的角度提出的控制体系的信息安全管理相关的标准。这些控制体系下的信息化审计可以有效地控制信息安全，从而达到安全审计的目的，提高信息系统的安全性。由此，国际组织也制定了相关文件规范填补信息系统审计方面的某些空白。例如《信息安全管理业务规范》通过了国际标准化组织ISO的认可，正式成为国际标准。我国法律也针对信息安全审计制定出了《中华人民共和国审计法》、《国务院办公厅关利用计算机信息系统开展审计工作有关的通知》等文件，基本规范了内部审计机制，健全了内部审计机构；强调机构应加强内审工作，机构内部要形成有权就有责、用权受监督的最佳氛围；审计委员会直接对领导班子负责，其成员需具有相应的独立性，委员会成员具良好的职业操守和能力，内审人员应当具备内审人员从业资格，其工作范围不应受到人为限制。内部审计机构对审计过程中发现的重大问题，视具体情况，可以直接向审计委员会或者领导层报告。

三、主机系统安全审计

信息技术审计，或信息系统审计，是一个信息技术基础设施控制范围内的检查。信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面做出判断的过程。

以技术划分，信息化安全审计主要分为主机审计、网络审计、应用审计、数据库审计，综合审计。简单的说获取、记录被审计主机的状态信息和敏感操作就是主机审计，主机审计可以从已有的系统审计记录中提取相关信息，并以审计规则为标准来分析判断被审计主机是否存在违规行为。总之，为了在最大限度保障安全的基础上找到最佳途径使得业务正常工作的一切行为及手段，而对计算机信息系统的薄弱环节进行检测、评估及分析，都可称作安全审计。

主机安全审计系统中事件产生器、分析器和响应单元已经分别以智能审计主机、系统中心、管理与报警处置控制台来替代。实现主机安全系统的审计包括系统安全审计、主机应用安全审计及用户行为审计。智能审计替代主机安装在网络计算机用户上，并按照设计思路监视用户操作行为，同时智能分析事件安全。从面向防护的对象可将主机安全审计系统分为系统安全审计、主机应用安全审计、用户行为审计、移动数据防护审计等方面。

四、待解决的若干问题

计算机与信息系统广泛使用，如何加强对终端用户计算机的安全管理成为一个急需解决的问题。这就需要建立一个信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。

保护网络设备、设施、介质，对操作系统、数据库及服务系统进行漏洞修补和安全加固，对服务器建立严格审核。在安全管理上完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理，形成一套比较完备的信息系统安全管理保障体系。

防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。VPN可以通过一个公用网络建立一个临时的、安垒的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。借助专业的防DDos系统，可以有效的阻止恶意攻击。信息系统的安全需求是全方位的、系统的、整体的，需要从技术、管理等方面进行全面的安全设计和建设，有效提高信息系统的防护、检侧、响应、恢复能力，以抵御不断出现的安全威胁与风险，保证系统长期稳定可靠的运行。严格的安全管理制度，明确的安全职责划分，合理的人员角色定义，都可以在很大程度上减少网络的安全隐患。

从战略高度充分认识信息安全的重要性和紧迫性。健全安全管理组织体系，明确安全管理的相关组织、机构和职责，建立集中统一、分工协作、各司其职的安全管理责任机制。为了确保突发重大安全事件时，能得到及时的响应和支援，信息系统必须建立和逐步完善应急响应支援体系，确保整个信息系统的安全稳定运行。

参考文献：

[1]宋新月，内部审计在经济管理中的重要作用浅析[J]，知识经济，2009