信息系统审计报告
计算机和信息系统安全保密审计报告
根据市国家保密局要求，公司领导非常重视计算机信息系统安全保密工作，在公司内部系统内开展自查，认真对待，不走过场，确保检查不漏一机一人。虽然在检查中没有发现违反安全保密规定的情况，但是，仍然要求计算机使用管理人员不能放松警惕，要时刻注意自己所使用和管理的计算机符合计算机信息系统安全保密工作的规定，做到专机专用，专人负责，专人管理，确保涉密计算机不上网，网上信息发布严格审查，涉密资料专门存储，不交叉使用涉密存储设备，严格落实计算机信息系统安全保密制度。通过检查，进一步提高了全公司各部门员工对计算机信息系统安全保密工作的认识，增强了责任感和使命感。现将自查情况汇报如下：
一、加大保密宣传教育，增强保密观念。始终把安全保密宣传教育作为一件大事来抓，经常性地组织全体职工认真学习各级有关加强安全保密的规定和保密常识，如看计算机泄密录像等，通过学习全公司各部门员工安全忧患意识明显增强，执行安全保密规定的自觉性和能力明显提高。
二、明确界定涉密计算机和非涉密计算机。涉密计算机应有相应标识，设置开机、屏保口令，定期更换口令，存放环境要安全可靠。涉密移动硬盘、软盘、光盘、u盘等移动存储介质加强管理，涉密移动存储介质也应有标识，不得在非涉密计算机中使用，严防泄密。非涉密计算
机、非涉密存储介质不得以任何理由处理涉密信息，非涉密存储介质不得在涉密计算机中使用涉密信息。涉密信息和数据必须按照保密规定进行采集、存储、处理、传递、使用和销毁。计算机信息系统存储、处理、传递、输出的涉密信息要有相应的密级标识，密级标识不能与正文分离。涉密信息不得在与国际网络联接的计算机信息系统中存储、处理、传递。
三、加强笔记本电脑的使用管理。笔记本电脑主要在公司内部用于学习计算机新软件、软件调试，不处理涉密数据或文件。
四、计算机的使用人员要定期对电脑进行安全检查，及时升级杀毒软件，定时查杀病毒。对外来计算机介质必须坚持先交计算机管理人员查杀病毒再上中转机使用的原则。
五、对需要维修的涉密计算机，各部门必须事先将计算机内的涉密信息进行清除；如需调换计算机硬盘，清除涉密信息后方可允许维修人员将硬盘带走。对报废的涉密计算机必须彻底清除计算机内的信息，方可处理。
六、小结
安全审计作为一门新的信息安全技术，能够对整个计算机信息系统进行监控，如实记录系统内发生的任何事件，一个完善的安全审计系统可以根据一定的安全策略记录和分析历史操作事件及数据，有效的记录
攻击事件的发生，提供有效改进系统性能和的安全性能的依据。本文从安全审计的概念、在涉密信息系统中需要审计的内容、安全审计的关键技术及安全审计系统应该注意的问题等几个方面讨论了安全审计在涉密信息系统中的应用。安全审计系统应该全面地对整个涉密信息系统中的网络、主机、应用程序、数据库及安全设备等进行审计，同时支持分布式跨网段审计，集中统一管理，可对审计数据进行综合的统计与分析，从而可以更有效的防御外部的入侵和内部的非法违规操作，最终起到保护机密信息和资源的作用。
计算机技术管理部
2011.8.17篇二：信息系统审计
信息系统审计
电子数据处理系统发展分为三阶段：数据的单项处理阶段(1953-1965)、数据的综合处理阶段（1965-1970）、数据的系统处理阶段（1970年以后），对传统审计产生了巨大的影响，主要表现在（1）对审计线索的影响：传统的审计线索缺失；edp下：数据处理、存储电子化，
不可见，难辨真伪。（2）对审计方法和技术的影响：技术方法复杂化；edp下：利用计算机——审计技术变得复杂化（3）对审计人员的影响：知识构成要求发生变化；edp下：会计、审计、计算机等知识和技能（4）对审计准则的影响：信息化下审计准则与标准的缺失；edp 下：在原有审计准则的基础上，建立一系列新的准则（5）对内部控制的影响：内部控制方式发生改变：传统方式下：强调对业务活动及会计活动使用授权批准和职责分工等控制程序来保证。edp下：数据处理根据既定的指令程序自动进行，信息的处理和存储高度集中于计算机，控制依赖于计算机信息系统，控制方式发生改变。
2、信息系统审计的定义：指根据公认的标准和指导规范，对信息系统从计划、研发、实施到运行维护各个环节进行审查评价，对信息系统及其业务应用的完整、效能、效率、安全性进行监测、评估和控制的过程，以确认预定的业务目标得以实现，并提出一系列改进建议的管理活动。
3、信息系统审计的特点（1）审计范围的广泛性（2）审计线索的隐蔽性、易逝性（3）审计取证的动态性（4）审计技术的复杂性：首先，由于不同被审单位的信息系统所配备的计算机设备各式各样，各个机器的功能各异，所配备的系统软件也各不相同。审计人员在审计过程中，必然要和计算机的硬件和系统软件打交道，各种机型功能不一，配备的系统软件各异，必然增加了审计技术的复杂性，其次，由于不同被审单位的业务规模和性质不同，所采用的数据处理及存储方式也不同，不同的数据处理，存储方式，审计所采用的方法、技术也不同。此外，不同被审单位其应用软甲你的开发方式、软件开发的程序设计语言也不尽相同，不同开发方式以及用不同的程序设计语言开发的应用软件，其审计方法与技术也不一样。
4、信息系统审计的目标：（1）保护资产的完整性：信息系统的资产包括硬件、软件、设备、人员、数据文件、系统档案等；（2）保证数据的准确性：数据准确性是指数据能满足规定的条件，防止粗无信息的输入和输出，一级非授权状态下的修改信息所造成的无效操作和错误后果；（3）提高系统的有效性：系统的有效性表明系统能否获得预期的目标；（4）提高系统的效率性：系统效率是指系统达到预定目标所消耗的资源，一个效率高的信息系统能够以尽量少的资源达到需要的目标；（5）保证信息系统的合规性合法性：信息系统及其运用必须遵守有关法律、法规和规章制度。
5、信息系统审计的主要内容：内部控制系统审计内部控制系统包括一般控制系统（包含组织控制、系统开发控制、系统安全控制、硬件和系统软件控制等方面）应用控制系统（输入、处理、输出）；系统开发审计；应用程序审计（决定了数据处理的合规性、正确性目的：一是测试应用控制系统的符合性；二是通过检查程序运行和逻辑的正确性达到实质性测试目的。测试应用控制的符合性是指对嵌入应用程序中的控制措施进行测试，看它们是否按设计要求在运行和起作用）；数据文件审计（目的：一是数据文件进行实质性测试；而是通过数据文件的审计，测试一般控制或应用控制的复合型，但数据文件审计主要是为了实质性测试）
6、基本方法：绕过信息系统审计：基于黑箱（black box）原理，审计人员不审查系统内的程序和文件，只审查i/o数据及其管理制度。优点：审计技术简单、较少干扰被审系统。缺点：审计结果不太可靠、要求i/o联系紧密
通过信息系统审计：基于黑箱（black box）原理，审计人员不审查系统内的程序和文件，只审查i/o数据及其管理制度。优点：审计技术简单、较少干扰被审系统。缺点：审计结果不太可靠、要求i/o联系紧密。
7、步骤：准备阶段（明确审计任务、组成信息系统小组、了解被审系统的基本情况、制定
信息系统审计方案、发出审计通知书）；实施阶段（对被审计系统的内部控制制度进行健全性调查和符合性测试、对张单证或数据文件的实质性审查）；终结阶段（整理归纳审计资料、撰写审计报告（审计报告主要是对信息系统审计结果的综合归纳，由审计小组撰写）、发出审
计结论和决定、审计资料的归档和档案）
8、国际信息系统审计原则：审计标准（是整个信息系统准则体系的总纲，是制定审计指南和作业程序的基础和依据）；审计指南（为审计标准的应用提供了指引，信息系统审计师在审计过程中应考虑如何应用指南以实现审计标准的要求，在应用过程中应灵活运用专业判断并纠正任何偏离准则的行为）；作业程序（提供了信息系统审计师在审计过程中可能遇到的审计程序的示例）
9、审计师应具备的素质：（1）应具备的理论知识：传统审计理论、信息系统管理理论、计算机科学、行为科学理论（2）应具有的实践技能：参加过不同类别的工作培训，尤其是在组织采用和实施新技术时，此外也参加过组织内部计划的制定等；参与专业的机构或厂商组织的研讨会，动态掌握信息技术的新发展对审计时间的影响；具有理解信息处理活动的各种技术，尤其是影响组织财务活动的技术，能够与来自各领域的管理者、用户、技术专家进行交流；理解并熟悉操作环境，评估内部控制的有效性；理解现有与未来系统的技术复杂性，以及它们对各级操作与决策的影响；能使用技术的方法去识别技术的完整性；要参与评估与使用信息技术相关的有效性、效率、风险等；能够提供审计集成服务并对审计员工提供指导，与财务审计师一起对公司财务状况作出声明；具备系统开发方法论、安全控制设计、实施后评估等；掌握网络相关的安全事件、信息安全服务、灾难恢复与业务持续计划、异步传输模式等通信技术。
10、it治理德勤定义：it治理是是一个含义广泛的概念，包括信息系统、技术、通信、商业、所有利益相关者、合法性和其他问题。其主要任务是保持it与业务目标一致推动业务发展，促使收益最大化，合理利用it 资源，it相关风险的适当管理。
11、共同点：
（1）it治理必须与企业战略目标一致，it对于企业非常关键，也是战略规划的组成，影响战略竞争。
（2）it治理保护利益相关者的权益，使风险透明化，知道和控制it投资、机遇、利益、风险。
（3）it治理和其他治理主题一样，是管理执行人员和利益相关者的责任（以董事会为代表）
（4）it治理包括管理层、组织结构、过程，以确保it维持和拓展组织战略目标
（5）应该合理利用企业的信息资源，有效地进程与协调。
（6）确保it战略及时按照目标交付，有合适的功能和期望的收益，是一个一致性和价值传递的基本构建模块，有明确的期望值和衡量手段。
（7）引导it战略平衡系统的投资，支持企业，变革企业，或者创建一个信息基础构架，保证业务增长，并在一个新的领域竞争。
（8）对于核心it资源做出合理的决策，进入新的市场，驱动竞争策略，创造总的收入增长，改善客户满意度，维系客户关系。
12、it管理是公司的信息及信息系统的运营，确定it目标以及实现此目标所采取的行动。it治理是指最高管理层（董事会）利用它来监督管理层在it战略上的过程、结构和联系，以确保这种运营处于正确的轨道之上。it治理规定了整个企业it运行的基本框架，it 管理则是在这个既定的框架下驾驭企业奔向目标。
13、公司治理和it治理：公司治理关注利益相关者权益和管理，驱动和调整it治理。it能够提供关键的输入，形成战略计划的一个重要组成部分，是公司治理的重要功能。
14、itil：信息技术基础构架库；cobit：信息和相关技术的控制目标；bs 7799：国际安全管理标准体系；prince2是一种对项目管理的某些特定方面提供支持的方法。
15、it治理成熟度模型：不存在（0级）、初始级（1级）、可重复级（2级）、已定义级
（3级）、已管理级（4级）、优化级（5级）作用：it治理成熟度模型制定了一个基准，组织可能根据上面的指标确定自己的等级，从而了解自身的境界。在此基础上确定组织的关键成功因素，通过关键绩效指标进行监控，并衡量组织是否能达到关键目标指标中所设定的目标。
16、信息系统内部控制：一个单位在信息系统环境下，为了保证业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊，确保信息系统提供信息的真实、合法、完整，而制定和实施的一系列政策与程序措施。
17、一般控制系统：范围：应用于一个单位信息系统全部或较大范围的内部控制。对象：应为除信息系统应用程序以外的其他部分。基本目标：保证数据安全、保护计算机应用程序、防止系统被非法侵入、保证在意外情况下的持续运行等。
18、良好的一般控制是应用控制的基础。如果一般控制审计结果很差，应用控制审计就没有进行的必要。
19、审计逻辑访问安全策略：此策略应当为逻辑访问建立“知所必需”的原则，并合理评估在访问过程中暴露的风险。
20、审查离职员工的访问控制：一般来说，员工离职的情况主要有请辞、聘用合同期满和非自愿离职三种。对于非自愿离职的员工，组织应当在接触其职务之前，及时收回或严格限制其对组织信息资源的访问权，使其不能继续访问组织的机密信息，或使其不能破坏组织有价值的信息资产。如果对于这类员工还需要保留一部分访问权，必须得到相关管理层批准，并对其进行严格的监督。对其他两种离职的员工，由管理层批准是否保留他们的访问权，这取决于每一种人所处的特定环境、员工所访问it资产的敏感程度以及组织的信息安全策略、标准和程序的要求。
21、系统访问：通过某种途径允许或限制对网络资源（软件和硬件）和数据（存储的和通信的）的访问能力及范围。逻辑访问控制：通过一定的技术方法控制用户可以利用什么样的信息，可以运行什么程序与事务，可以修改什么信息与数据。物理访问控制：限制人员进出敏感区域。对极端及信息的物理访问与逻辑访问应当建立在“知所必需”的基础上，按照最小授权原则和职责分离原则来分配系统访问权限，并把这些访问规则与访问授权通过正式书面文件记录下来，作为信息安全的重要文件加以妥善管理。
22、身份识别与验证：（账号与口令，令牌设备，生物测定技术与行为测定技术）“只有你知道的事情”——账号与口令，账号的控制、口令的控制；“只有你拥有的东西”——令牌设备，发送许可权的特殊消息或一次性口令的设备；“只有你具有的特征”——生物/行为测定，指纹、虹膜等和签名等。
23、逻辑访问授权：一般情况下，逻辑访问控制基于最小授权原则，只对因工作需要访问信息系统的人员进行必要的授权，当用户在组织变换工作角色时，在赋予他们新访问权限时，一般没有及时取消旧的访问权限，这回产生访问控制上的风险。所以当员工职位有变动时，信息系统审计是要及时审核访问控制列表是否做了有效变更。
24、bcp一般包括业务持续性计划（bcp）、业务恢复计划（brp）、连续作业计划（coop）、持续支持计划/it应急计划、危机通信计划、事件响应计划、灾难恢复计划（drp）、场所应急计划（oep）
25、数据备份：完全备份、增量备份、差分备份等
26、信息系统审计针对灾难恢复与业务连续性计划，其主要任务是理解预评价组织的业务连续性策略，及其与组织业务目标的符合性；参考相应的标准和法律法规，评估该计划的充分性和实效性；审核信息系统及终端用户对计划所做测试的结果，验证计划的有效性；审核异
地存储设施及其内容、安全和环境控制，以评估异地存储站点的适当性；通过审核应急
措施、员工培训、测试结果，评估信息系统及其终端用户在紧急情况下的有效反应能力；确认组织对业务持续性计划的维护措施存在并有效。
27、应用控制市委适应各种数据处理的特殊控制要求，保证数据处理完整、准确地完成而建立的内部控制。可将应用控制划分为输入控制、处理控制和输出控制。应用控制也是由手工控制和程序化控制构成，但以程序化控制为主。
28、信息系统开发审计是对信息系统开发过程进行的审计，审计的目的一是要检查开发的方法、程序是否科学，是否含有恰当的控制；二是要检查开发过程中产生的系统文档资料室否规范。
29、系统开发过程审计：遵守标准与流程；有效的操作；使系统合乎法律要求；必要的控制，预防可能的损失及严重错误；为管理层、信息系统审计师、操作人员提供必要的审计轨迹；系统文档，便于系统维护与审计。
30、软件维护的种类：纠错性维护、适应性维护、完善性维护、预防性维护
31、itil:六个主要模块:服务管理（service management）、业务管理（business management）、信息与通信技术基础设施管理（ict infrastructure）、应用管理（application management）、it服务管理实施规划、安全管理（security management）
32、服务管理模块：面向it基础设施管理的服务支持和面向业务管理的服务提供。it 服务提供流程主要面对付费的机构和个人客户，负责为客户提供高质量、低成本的it服务。它的任务是根据组织的业务需求，对服务能力、持续性、可用性等服务级别目标进行规划和设计，同时，还必须考到这些服务目标所需要好费电成本。it 服务主要包括服务水平管理、it服务财务管理、能力管理、it 服务持续性管理和可用性管理五个服务管理流程。it服务支持的服务支持流程主要面向终端用户，责任确保it服务的稳定性与灵活性，用于确保终端用户得到适当的服务，以支持组织的业务功能。服务支持流程包括体现服务接触和沟通的服务台职能和五个运作层次的流程，即配置管理、事故管理、问题管理、变更管理和发布管理等。
33、应用程序审计的内容：审查程序控制是否健全有效：程序中输入控制、处理控制、输出控制的审计；审查程序编码的合法性：是否含有为了舞弊目的而设计的非法编码；审查程序编码的正确性：是否编码有错误、目标和任务不明确，系统设计、程序设计错误；审查程序的有效性：是否有无效编码、是否有效率较差的编码
34、应用程序审计方法：手工审计方法与计算机辅助审计方法相结合。
35、程序编码检查法：逐条审查被审程序，验证程序的合法性、完整性和逻辑的正确性。
36、检测数据法：审计人员把一批预先设计好的检测数据，利用被审程序加以处理，并把处理的结果与预期的结果做比较，以确定被审程序的控制与处理功能是否恰当、有效的一种方法。
37、平行模拟法是指审计人员自己或请计算机专业人员编写的具有和被审程序相同处理和控制功能的模拟程序，用这种程序处理档期的实际数据，并已处理的结果与被审计程序的处理结果进行比较，已评价被审程序的处理和控制功能是否可靠的一种方法。
38、嵌入审计程序法是指被审信息系统的设计和开发阶段，在被审的应用程序中嵌入未执行特定的审计功能而设计的程序段，这些程序段可以用来收集审计人员感兴趣的资料，并且建立一个审计控制文件，用来存储这些资料，审计人员通过这些资料的审核来确定被审程序的处理和控制功能的可靠性。
39、程序追踪法是一种对给定的业务，跟踪被审程序处理步骤的审查技术。一般可由追踪软件来完成，也可利用某些高级语言或数据库管理系统中的跟踪指令跟踪被审程序的处理。篇三：《信息系统审计》实验报告-模板
《信息系统审计》实验报告
篇四：信息系统审计考试要点
据，以判断计算机系统是否能够保证资产的安全、数据的完整以及有效率地利用组织的资源并有效地实现组织目标的过程。三种基本类型信息系统的真实性审计（是对传统审计的补充，防止假账真审）、信息系统的安全性审计（对企业的信息资产的安全性的审核，防止来自信息系统造成的经营风险。这时信息系统审计的目标是企业信息系统的安全性、可靠性、可用性、保密性）和信息系统的绩效审计（是对信息系统投入产出比的审核。审计的目标是企业信息系统投资的效果、效率、效益。审计的作用是如何正确、合理地评价企业信息系统投资的绩效，给企业的投资者、债权人、经营者、管理者提供决策参考）目标真实性、安全性、完整性、可用性、保密性、可靠性、合法性、效果、效益、效率等。实施程序包括接受审计委托、评估审计风险、制定审计计划、收集审计证据、出具审计报告、后续工作。u9电子商务的安全性是电子商务真实性的基础，而电子商务真实性又是信息系统真实性，特别是财务数据真实性的基础。分为交易信息保密，交易者身份确认，交易不可否认，交易记录不可修改。电子商务的真实性在于基金流（包括1认证中心（第三方）2电子支付）。真实的电子商务资金流，信息流，物流三者吻合。电子商务对审计的影响突出标志：增加贸易机会，降低贸易成本，简化贸易流程，提高贸易效率。1电子商务交易行为的认定更加困难2电子商务的安全问题不仅涉及企业和消费者的利益更重要的是国家的经济安全3电子商务的无纸化彻底改变了审计证据的获取技术和方法，电子文件必须借助相应的软件才能看见和提取，属于电子证据认定。.总之，由于电子商务的虚拟化、数字化、匿名化、无国界和支付方式电子化等特点，使其交易情况大多数被转换为“数据流”在网络中传送，增加了操作隐蔽性和复杂度，提高了企能力。电子商务的体系架构底层是基础层（互联网、企业网等），中间是技术层，是信息传送的载体和用户接入的手段（认证机构，支付网关，客户服务中心，其真正核心是认证中心），顶层是各种各样的电子商务应用系统（电子商厦，远程医疗，股票交易，视频点播，网上购物，网上订票等）。电子商务真实性审计内容1、电子商务的真实性，通过被审计企业的电子商务系统的日志文件与从认证中心获取数字时间戳等信息进行核对，同时，提取数字签名以验证交易信息的完整性和是否被修改，2、电子支付的真实性，通过银行核实电子支付的真实性，3、交易目的的合法性，在信息系统审计师签证了这些交易的真实性的基础之上，财务审计师应关注关联企业之间电子商务是否合法合规，是否会影响或扭曲企业的收入、成本、利润等，审核这些交易的合法性。电子商务的特点1信息加密2电子付款3无纸化操作4操作方便。 u11 cobit的 4个领域1计划与组织2获取与实施3转移与支持4监督与评价。它直接反应企业的计划、实施、检查、更正等基本管理职能。提供了管理的要素、标准和控制目标。模型目标保障有效性，高效性，保密性，完整性，可用性，兼容性，可靠性。cobit立方：组织内部的it资源需要由一组自然分类的it过程来管理。立方的三维是目标（业务需求：x）it资源（y）it过程（z）目标（业务需求）1质量需求2信任需求3安全需求。it资源包括：1应用系统：指人工和程序化的过程的总和，2信息：指信息系统使用、处理、存储、输出的数字、文字、图像、影像、声音等，4基础设施：指支持和保护信息系统的所有相关基础设施，5人员：指与信息系统设计、开发、使用、管理、维护等相关的人员。it过程三个层次，最底层是活动，中间层为过程，顶层是领域。
u2信息系统审计的一个重要特征过程性。信息系统审计风险模型审计风险=技术风险*控制风险*检查风险技术风险指由于技术缺陷或漏洞等导致信息系统出错或终端的可能性。是一种无法控制的风险。特点技术风险的水平取决于信息技术的发展水平以及企业采用的技术水平，它的产生与信息系统审计师无关，企业可以通过加强内部控制和管理等非技术手段以降低技术风险的水平。技术风险独立存在于审计过程中，又客观存在于审计过程中，且是一种相对独立的风险。这种风险水平的大小需要信息系统审计师的认定。控制风险是指被审计企业未能通过管理与控制及时防止或发现其信息系统出现问题或缺陷的可能性，审计人员只
能评估不能改变。特点控制风险水平与被审计企业的控制水平有关，与信息系统审计师地工作无关，有效地内部控制能降低控制风险，无效的则增加。有效地内部控制将降低控制风险，而无效的内部控制有可能增加控制风险。检查风险是指信息系统审计师通过预定的审计流程未能发现被审计企业在信息系统的安全性、真实性、绩效等发面存在的问题或缺陷的可能性，它是可以通过信息系统审计师进行控制和管理的。特点1它能独立于整个审计过程中，不受技术风险和控制风险的影响2与信息系统审计师的工作直接相关，是审计流程有效性和运用审计程序的有效性函数。在实践中信息系统审计师就是通过收集充分的证据来降低检查风险，检查风险和重要性水平共同决定了需要收集证据的数量。审计重要性水平是针对特定被审计单位、特定审计事项而言的，具有相对性和个性差异，需要从审计目标、被审对象及审计报告的使用者等三方比外部的更为严重；基于信息技术的舞弊行为比误操作等更为严重；来自企业高层的信息系统舞弊比中层、基层的舞弊更为严重；软件设计上的舞弊比利用软件漏洞的舞弊更为严重。做好审计计划工作，对于提高审计管理效率和效益，促进审计工作质量和水平的提高具有重大意义。审计计划的划分根据时间要素可分为长期审计计划、中期和短期。根据内容要素可分为审计工作计划和审计项目计划。根据范围要素分为总体审计计划和具体审计计划。信息系统审计报告阶段是信息系统审计工作的最后阶段，信息系统审计报告时信息系统审计工作的最后产品，也是信息系统审计师向委托人报告问题、提出建议的工具。作用鉴定作用（信息系统审计师签发的信息系统审计报告，是以独立的第三方身份对被审计单位信息系统管理的安全性、产生数据的真实性、运行的绩效等方面发表意见，能得到各个部门和社会各界的普遍认可）保护作用（信息系统审计师通过审计可以被审计单位出具不同类型审计意见的审计报告，以提高或降低企业披露信息的可信度，能过在一定程度上对被审计单位的财产、债权人和股东的权益及公司利害关系人的利益起到保护作用）证明作用（审计报告是对信息系统审计师任务完成情况的总结，它可以表明审计工作的质量并明确信息系统审计师的责任。通过审计报告，可以证明信息系统审计师审计责任的履行情况）格式1题头段2正文段3结论段4结尾段。（正文段：1审计目的2审计步骤及时间3审计依据4采用的技术与方法5审计发现）独立性问题决定了信息系统审计的质量。分为形式上的独立性（审计师与被审计企业无任何特殊的利益关系）和实质上的独立性（审计师的超然性，不依赖和屈从于外界压力的影响）审计准则对“独立性”的阐述1职业独立性（对于所有与审计相关的事物，信息系统审计
师应当在态度和形式上独立于被审计单位）2组织独立性（信息系统审计职能应当独立于受审查的范围或活动之外，以确保审计工作完成的客观性）3审计章程或委托书中应当针对审计职能的独立性和义务做出相应的规定4信息系统审计师应该在审计过程中随时保持态度和形式上的独立性5如出现独立性受损的现象，无论是在实质上还是形式上，应向有关当事人披露独立性收损的细节6信息系统审计师应当在组织上独立于被审计的范围7信息系统审计师、管理层和审计委员会应当定期地对独立性进行评估。8除非被其他职业标准或管理机构所禁止，当信息系统审计师虽然参与信息系统项目，但所担当的并不是审计角色时，并不要求信息系统审计师保持独立性。业务持续计划是企业应对种种不可控义素的一种防御和反映机制。灾难恢复计划是造成业务停顿后，如何以最短时间、最少损失恢复业务的方案。影响业务持续能力的因素有：1应用系统灾难2自然灾难3人为灾难4 社会灾难。
u4业务持续计划是企业应对种种不可控因素的一种预防和反应机制，而灾难恢复计划则是造成业务已经停顿后，如何以最短时间、最少损失恢复业务的处理预案。前者立足于预防，后者立足于事后的补救。业务持续计划目的为了防止企业正常业务行为的中断而建立起来的计划作用：确保企业的主要业务流程和运营服务，包括支撑业务的信息系统以及设施，能够在事故发生后持续运行保持一定程度的服务，并能尽快的恢复事故前的服务水平。它的制定并不意味着企业不再受任何事故的影响。难恢复计划与业务持续计划的区别灾难恢复计划是
基于假定灾难发生后造成业务已经停顿企业将如何去恢复业务，立足于把损失减小到最低程度；业务持续计划基于这样一个基本原则及无论发生任何意外事件组织的关键业务也不能中断，立足于建立预防机制，强调使企业业务能够抵御意外事件的打击，灾难恢复计划是对业务持续计划的必要补充。业务持续计划的实施包括的阶段项目启动、风险评估、业务影响分析、业务持续性策略规划、业务持续性计划编制、人员培训及训练、业务持续性计划测试与演练以及业务持续性计划更新等主要阶段。其中，风险评估、业务影响分析、计划演练、计划更新是关键因素。业务影响分析的目的通过客观的分析，掌握各关键业务可容许中断的最大时间长度，从而制定各关键业务的恢复时间目标、最低的恢复要求、恢复次序以及支持各关键业务恢复所需的各项业务资源。业务影响分析是制定业务持续计划传统步骤中最耗时和最关键的一步，用的是系统化的方法。影响业务持续能力的因素（信息系统灾难）人为因素（分为社会灾难和人为灾难，如人为破坏、攻击系统、管理疏忽）非人为因素（分为自然灾害和应用系统灾害）。防火墙比喻隔离在本地网络与外界网络之间的一道防御系统，是一类防容灾能力评价：rop即数据丢失量，代表了当灾难发生时信息系统所能容忍的数据丢失。pto即系统恢复时间，代表了从遭难发生到业务恢复服务功能所需要的最长时间。国际标准定义的容灾系统7层次0级无异地备份（这种容灾系统成本较低，易于配置。该级别容灾系统对数据丢失的容忍度在数天以上）1级备份介质异地存放（成本低，易于配置容忍度在数天以上）2级备份介质异地存放及备用场地（虽然移动数据到热备份站点增加了成本，但缩短额灾难恢恢复的时间，大约在1、2天）3级电子链接(热备份站点和信息中心在地理上必须远离，备份数据通过网络传输)4级活动状态的被援站点（地理上分开的两个站点同时处于工作状态，相互管理彼此的备份数据，几个小时）5级实时数据备份（两个站点数据相互镜像，仅在传输中尚未完成提交的数据会丢失几秒）6级零数据丢失（可以实现零数据的丢失，但是贵，几乎没有中断的恢复方式）。这个等级划分的目的是让企业清楚为什么要从业务层面作遭难恢复，不同的业务应采取什么样的手段。灾备中心的模型1热备份型灾备中心（指两个信息中心完全同步，任一发生事故对用户不产生影响但是实现的技术难度大、成本高；同步远程镜像技术，同步远程镜像在相对较近的距离上应用，成本高管理用难度，开支大，对距离有限制）2温备份型灾备中心（两个信息中心在数据层面同步，业务运营层面不同步，当事故时，要一定时间才能恢复业务运营，数据不丢失，实现技术要求相对低，成本也较低；异步远程
镜像技术对网络宽带要求小，传输距离长，成本比热备份遭难中心要低）3冷备份型灾备中心（最普通的数据备份处理方式，用磁盘或磁带备份数据送到一异地保存，或通过数据线传输在异地备份。最大的不同点是只在数据层面备份没有业务层面的备份，且数据备份的时间间隔长，不能完全恢复，但成本低，管理简单）。一个实际的灾备解决方案首先考虑企业各种业务对信息系统以来的程度，其次研究可用技术和成本。在同城中建立热接管的互备中心，双机热备份系统采用心跳（指的是主、从系统之间按照一定的时间间隔发送信号，表明各自系统当前的运行状态）方式保证主系统与备份系统的联系。再夸城市、远距离之间的中心建立异步的灾难备份中心，以防地域性灾难。在灾难备份方案设计及实施中，是否可以做到极大化的系统操作自动化是一个非常重要的考虑因素。采用灾备解决方案的指标1灾难类型2恢复速度3恢复程度。制定灾备方案应考虑的因素1考虑企业各种业务对信息系统依赖的程度2研究可用技术和成本，根据可投入的资金量，选择设计灾备的方案。灾备中心的选址原则人文环境、基础环境、自然环境。灾备体系建立的6个流程1建立在被专门机构2分析灾备需求3制定灾备方案4实施灾备方案5制定灾难恢复计划6保持灾难恢复计划的持续可用。信息中心安全注意点防盗、防火、防静电、防雷击、防电磁干扰、三度（温度湿度清洁度）的要求、电力保障。存储架构的安全性是企业业务持续的重要物质基础之一。存储架构安全策略：1直接连接存储系统（计算机主机直接与存储设备连接，对存储设备进行本
地冗余备份，确保数据不因存储设备故障而丢失）2网络连接存储系统（把存储设备集中在一起，通过互联网与计算机主机连接，所有在网络上的计算机共享该存储系统，容易实施成本不高。可以为企业提供便捷的远程异地的数据备份）3存储区域网络（采用光纤通道交换机等高速网络设备，构成一个数据存储网络，网络内部的数据传输率很快，成本也高，提供本地或异地的存储备份之间的告诉的相互备份，这样的冗余避免数据的丢失）。
u6访问控制策略（控制强度由强到弱）dac自主型访问控制策略（用户对不同的数据对象有不同的存取权限，用户可将权限转授。dac访问控制完全基于访篇五：信息系统审计事项和信息系统审计案例报告
信息系统审计事项
附件2
信息系统审计案例报告（模板）
一、案例摘要
简要说明本案例的基本信息，具体包括：
（一）案例名称，所属审计项目名称，审计实施单位和主要审计人员，审计实施的时间；
（二）本案例所包括的各具体信息系统审计事项名称及所属审计事项类别；
（三）本案例所采用的信息系统审计技术和方法简要描述；
（四）审计发现和建议的简要描述。二、被审计单位信息系统基本情况
（一）描述被审计单位信息化建设和管理的相关情况；（二）描述与本案例相关的被审计单位主要信息系统的总体情况，分析被审计单位对这些信息系统的业务依赖程度；
（三）描述与本案例相关的被审计单位主要信息系统的组织管理、系统运行、业务流程、电子数据等方面情况。三、被审计单位信息系统控制情况
描述与本案例相关的被审计单位主要信息系统的控制情况，包括一般控制和应用控制情况。四、信息系统审计总体目标
详细说明本信息系统审计项目的总体审计目标。五、审计重点内容及审计事项描述本信息系统审计项目的重点关注内容，按照附件1中关于审计事项的分类，划分本信息系统审计项目所实施的审计事项。
针对每一审计事项，详细说明以下方面的内容：（一）具体审计目标。本审计事项的具体审计目标。（二）审计测试过程。
1．详细说明在审计准备阶段需要调查了解的信息内容，调阅的资料名称，分析的管理或业务流程，编制的审计底稿等；
2．详细说明在审计实施阶段对关键控制点的分析，选择的测试技术和方法，测试的实施过程以及测试得出的初步结论等；
3．在以上说明中，要着重介绍审计测试技术、方法以及自动化工具的使用，并要对所涉及的技术、方法、工具的适用性与效果进行分析。
（三）审计发现问题和建议。六、对案例的自我分析与评价
（一）描述本案例（或所属信息系统审计项目）的特点和价值所在；
（二）对该案例中各具体审计事项内容和目标的理解；（三）信息系统审计中所使用技术、方法和工具的经验
总结。
信息系统审计中需要注意的环节-2019年文档
信息系统审计中需要注意的环节 信息系统审计，是指国家审计机关依法对被审计单位信息系统的真实性、合法性、效益性和安全性进行检查监督的活动。审计的主要目标是通过检查和评价被审计单位信息系统的安全性、可靠性和经济性，揭示信息系统存在的问题，提出完善信息系统控制的审计意见和建议，促进被审计单位信息系统实现组织目标；同时，通过检查和评价信息系统产生数据的真实性、完整性和正确性，防范和控制审计风险。本人就近几年参与信息化系统审计的经历，对审计过程中需要注意的环节做一些探讨。 一、信息系统项目的选择 对信息系统项目的选择一般要考虑到几点：信息系统作为一个独立的项目来开展审计还是把信息系统作为一个子项目来审计；信息系统项目是被审计单位的核心业务，信息系统审计与常规审计的目标一致或相关，两者关联密切，能够相互补充，如医院的收费业务系统、企业的ERP系统等；项目已完工结算正常运行，这样便于对项目进行整体的审计评价；项目涉及资金量较大，涉及部门和人员较多，内部控制存在问题；信息系统项目为本地区公益民生项目，例如“金保”工程、天网工程等。 二、做好审前调查，确定审计重点 审前调查是审计的重要组成部分，直接关系到审计方案如何制定、如何安排审计人员以及审计风险是否可控。审前调查的内
容一般应包含：（1）调查了解被审计单位相关经济业务活动所依赖信息系统的业务内容、业务流程、业务规模、资金流和信息流等；（2）调查了解信息系统的总体框架、技术架构、业务实现流程、数据运行流程、系统功能结构、系统网络结构和应用部署模式等；（3）调查了解信息系统建设的项目管理、投资管理、绩效评估情况和文档资料；（4）调查了解被审计单位信息化项目建设规划和标准、基本管理制度和单位绩效目标。 在调查了解的基础上，深入分析被审计单位信息部门在该单位的职责地位以及部门人员的具体分工；项目中如何划定信息人员、管理人员和财务使用人员之间的职责分工；被审计单位业务流程与信息化的耦合度如何；信息系统业务流程涉及的主要部门，权限分配如何；检查被审计单位信息机房设备是否符合标准要求，数据库等软件的国产化程度和程序数据接口标准；单位系统和数据安全评估等级；被审计单位在财务上如何与业务数据进行对接，是否数据上保持一致；数据恢复和备份情况等。通过以上分析，关注信息系统中的一些关键环节、容易忽略的地方，把握整体，抓住主要问题，避免审计风险。例如审计医院的业务系统，应该关注医院各个部门的工作职责、整个的药品流程、医疗项目收费流程和处方流程等。 三、审计内容和方法 信息系统审计的内容一般有应用控制、一般控制和项目管理审计。审计当中要看具体情况，内容的侧重点由被审计单位信息
涉密计算机信息系统的安全审计
涉密计算机信息系统的安全审计 来源：CIO时代网 一、引言 随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。 在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地区、跨网段、集中管理才是综合审计系统最终的发展目标。 本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后的发展方向做出了讨论。 二、什么是安全审计 国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，简称“五性”。安全审计是这“五性”的重要保障之一，它对计算机信息系统中的所有网络资源(包括数据库、主机、操作系统、安全设备等)进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。 近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况，就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。 为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据资源等进行监控和管理，在必要时通过多种途径向管理员发出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作用有以下几个方面： 1. 对潜在的攻击者起到震慑和警告的作用; 2. 对于已经发生的系统破坏行为提供有效的追究证据; 3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞; 4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要改进和加强的地方。 三、涉密信息系统安全审计包括的内容 《中华人民共和国计算机信息系统安全保护条例》中定义的计算机信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。涉密计算机信息系统(以下简称“涉密信息系统”)在《计算机信息系统保密管理暂行规定》中定义为：采集、存储、处理、传递、输出国家秘密信息的计算机信息系统。所以针对涉密信息系统的安全审计的内容就应该
审计管理信息系统解决方案
审计管理信息系统解决方案
一、企业目前在审计管理上面临的问题 随着集团型企业的不断发展，内部审计已成为现代企业管理的重要组成部分，对完善企业内部自我约束机制，深化企业改革，建立现代企业制度作出了巨大贡献。但是，目前很多企业的内部审计从机构设置、工作重点、审计范围、规范管理等方面还存在一些问题，主要表如下： 资源压力，效率低下 目前，大多数集团型企业面临多种审计需求，工作量巨大，审计工作面临多组织、多地域问题，难以组织协调，无法兴盛统一的资源和计划管理。 标准、方法不一致 集团型企业分子公司、分支机构审计方式不统一，存在一个组织，多种方法的问题。审计标准不统一，风险难以被有效控制。业务的不断变化，而审计业务没有创新和改变，难以应对变化。 审计能力不能持续提升 审计过程中，不能有效地获取、积累、沉淀知识,各组织审计知识不能有效共享，导致审计人员能力不能得到很好的提升。 审计绩效及监督体制不完善 企业没有有效的审计绩效考核方案，审计发现问题后，没有有效的监督整改机制。 风险意识薄弱
审计方式以事后审计为主，大多为“补救式”管理，审计质量提升不明显，导致没有有效的进行风险预警。 二、审计管理信息系统的概述 北京慧点科技开发有限公司（以下简称：慧点科技）的审计管理信息系统，为集团型企业的审计部门借助信息化手段，助力内部审计业务和管理全面提升提供了保障。慧点科技的审计管理信息系统可以帮助审计部门更好地履行内部审计职能，并且在实施审计项目、进行审计管理的过程中，对相关的审计业务操作与各类管理信息进行过程留痕，使客户能够更加方便的对审计过程中的各类信息进行统计分析，实现审计知识的积累，为审计项目实施和审计工作流程管理提供支持工具。 慧点审计管理信息系统按照集团型企业审计工作特点量身定制，建立了审计计划管理、审计资源管理、审计作业管理、审计业务分析等功能模块，功能和整合能力达到国际领先水平，不仅实现了集团型企业信息化的跨越式发展，为审计业务发展所需要的“治理结构”、“人力资源”、“工作实务”、“绩效评估及质量保证”、“技术”、“沟通和汇报”、“知识管理”等七个要素的发展提供了技术支撑。 三、审计管理信息系统架构说明 慧点管理信息系统分为多个层次，包括信息门户与展现层、业务系统应用层、应用支撑与工具层、基础设施层等4个层面，身份和授权管理贯穿于各个层面， 如下图所示：
浅谈信息系统审计的内容和策略.
浅谈信息系统审计的内容和策略 摘要:伴随着科技进步和企业管理理念的发展,越来越多的组织更加依赖于信息技术。与此同时,对信息系统审计的研究和实践也正不断发生着变化。笔者认为,信息系统审计有其自身的特点,是审计的新领域,与传统审计相对独立,应从组织的整体风险控制、价值实现以及整个审计体系的角度来重新认识。 关键词:信息系统信息技术审计内容策略 伴随着科技进步和企业管理理念的发展,以计算机技术、通信技术以及网络技术为主要内容的信息技术在社会各行业的管理中正发挥着越来越重要的作用。无论是企事业单位,还是政府公共服务机构,都越来越依赖于信息系统。信息系统的可靠性、有效性和效率性影响着组织的正常运转。 与此同时,对信息系统审计的研究和实践也正不断发生着变化。从计算机辅助审计到面向系统数据的审计,再到对应用系统的审计,信息系统的审计范围和领域不断扩大。目前,对信息系统审计的认识受到较多传统审计的影响,不少研究人员认为信息系统条审计是传统审计的补充和延伸,是为传统审计提供支撑和服务的。但笔者认为,信息系统审计有其自身的特点,是审计的新领域,对信息系统审计的认识和研究要从企业整体风险控制、价值实现以及整个审计体系的角度来重新认识。 一、信息系统审计的内容 从信息系统在组织中所处地位以及信息系统的开发、运行和维护过程分析,信息系统审计应包括对IT治理结构审计等9个方面的主要内容。 1.对IT治理结构与实施的审计。信息技术过去被认为仅仅是企业组织战略的强化器,而现在被认为是组织战略的重要组成部分,越来越受到管理层的关注。通过有效使用安全、可靠的信息和适用的技术,IT治理有助于企业获得成功。因此,在对信息系统审计中,审计人员应首先关注组织的IT治理机构,判断组织是否做到了IT 与业务的融合,并保持目标一致。
简述信息系统审计的主要内容--(出自第七单元)
第1页（共3页） 管理学作业答题纸 管理信息系统作业02（第5-8单元）答题纸 学籍号：姓名：分数： 学习中心：专业：____________ 本次作业满分为100分。请将每道题的答案写在对应题目下方的横线上。 题目1 [50 分] 答：内部控制制度审计：为了保证信息系统能够安全可靠地运行，严格内部控制 制度十分必要，它可以保证数据功能所产生的信息具有正确性、完整性、及时性 和有效性。 应用程序审计：计算机应用程序审计是信息系统审计的重要内容，这是因为企业 处理经济业务的目的、原则和方法都体现在计算机程序之中，他们是否执行国家 的方针政策，是否执行财经纪律和制度也往往在应用程序中体现出来。 数据文件审计：数据文件审计包括由打印机打印出来的数据文件和存储在各种介 质之上的数据文件的审计，包括会计凭证、会计帐本和会计报表，需要通过信息 技术进行测试。主要包括三个方面： 测试信息系统数据文件安全控制的有效性； 测试信息系统数据文件安全控制的可靠性； 测试信息系统数据文件安全控制的真实性和准确性。 处理系统综合审计：对信息系统中的硬件功能、输入数据、程序和文件４个因素 进行综合的审计，以确定其可靠性和准确性。 系统开发审计： 指对信息系统开发过程进行审计。包括两个目的：一是要检查开发的方法和程序 是否科学合理，是否受到恰当的控制；
第2页（共3页）二是要检查开发过程中产生的系统资料和凭证是否符合规范。 题目2 [50 分] 答：(1) 模块 通常是指用一个名字就可以调用的一段程序语句为物理模块。 在模块结构图中，用长方形框表示一个模块，长方形中间标上能反映模块处理功 能的模块名字。 模块名通常由一个动词和一个作为宾语的名词组成。 (2) 调用 模块间用箭头线联接，箭尾表示调用模块，箭头表示被调用模块。箭尾菱形表示 有条件调用，弧形箭头表示循环调用。 调用关系有：直接调用、条件调用（判断调用）和循环调用（重复调用）。(3) 数据 模块之间数据的传递，使用与调用箭头平行的带空心圆的箭头表示，并在旁边标 上数据名。箭头方向表示数据传送方向。 (4) 控制信息 为了指导程序下一步的执行，模块间有时还必须传送某些控制信息，例如，数据 输入完成后给出的结束标志。 控制信息与数据的主要区别是前者只反映数据的某种状态，不必进行处理。在模 块结构图中，用带实心圆点的箭头表示控制信息。 其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。 二．培训的及要求培训目的 安全生产目标责任书
信息系统安全审计管理制度
信息系统安全审计管理制度 第一章工作职责安排 第一条安全审计员职责 1.制定信息安全审计的范围和曰程； 2.管理详尽的审计过程； 3.分析审计结果并提出对信息安全管理体系的改进意见； 4.召开审计启动会议和审计总结会议； 5.向主管领导汇报审计的结果及建议； 6.为相关人员提供审计培训。 第二条评审员甶审计负责人指派，协助主评审员进行评审,其职责是： 1.准备审计清单； 2.实施审计过程； 3.完成审计拫告； 4.提交纠正和预防措施建议； 5.审查纠正和预防措施的执行情况。 第三条受审员来自相关部门 1.配合评审员的审计工作； 2.落实纠正和预防措施； 3.提交纠正和预防措施的实施报告。 第二章审计计划的制订 第四条审计计划应包括以下内容：
1.审计的目的； 2.审计的范围； 3.审计的准则； 4.审计的时间； 5.主要参与人员及分工情况。 第五条制定审计计划应考虑以下因素： 1.每年应进行至少一次涵盖所有部门的审计； 2.当进行巨大变更后（如架抅、业务方向等)，需要进行一次涵盖所有部门的审计。 第三草安全审计实施 第六条审计的准备 1 .评审员需事先了解审计范围相关的安全策略、标准和程序; 2.准备审计清单，其内容主要包括： (1)需要访问的人员和调查的问题； (2)需要查看的文档和记录（包括日志)； (3)需要现场查看的安全控制措施。 第七条在进行实际审计前，召开启动会议，其内容主要包括: 1,评审员与受审员一起确认审计计划和所采用的审计方式,如在审计的内容上有异议，受审员应提出声明（例如：限制可访问的人员、可调查的系统等）； 2.向受审员说明审计通过抽查的方式来进行。
《审计信息管理系统》使用介绍
《审计信息管理系统》使用说明 第一章概述 欢迎使用《审计信息管理系统》，本文介绍《审计信息管理系统》的使用方法。本系统是针对XXX市审计局日常行政办公、信息管理和设计的应用系统，充分考虑了XXX市审计局的办公内容、行文流程、组织结构等相关内容，给用户提供丰富、完整、方便的功能，正确处理企业日常工作中的各种常规事务，如收文、发文、信息管理、信访管理、档案管理等，通过对各种办公过程的流程化分析、图形表示、自动控制行文流转过程，提高办公效率，保证日常工作高效、规范的进行，实现无纸化办公。 本系统主要以审计项目的实施与管理为核心，同时提供人事管理和各科室之间的信息交换功能，方便领导和各科室成员迅速掌握当前工作的内容和工作进度。 本系统使用了高度安全的Lotus Notes/Domino R5作为开发平台，能适应用户在不同环境和条件下的需求，有着极为可靠的安全性。本系统有广泛的适用性。它是标准的工作流办公自动化软件，稍加改进即可与其他企事业单位自身组织机构相配置，用户单位无需更改现有组织机构，可快速部署整个系统，迅速从中获得效率提升。 第二章主界面 一、启动审计信息管理系统 办公自动化系统的启动，操作员单击［开始］→［程序］→［Lotus 应用程序］→［Lotus Notes］，系统会出现一对话框（如图2-1），输入正确的口令，系统就会进入审计信息管理系统主界面。 图2-1
如果操作员要选择其它的人员的ID（即以其他人员的身份登录，前提是直到其他人员的密码），操作员可单击［取消］，系统会弹出（如图2-2）的对话框，操作员从中挑选需要的ID，再输入正确的口令，系统就以他的身份进入审计信息管理系统主界面。 图2-2 二、主界面的操作 打开Lotus Notes，《审计信息管理系统》的主界面（如图2-3）自动作为缺省首页出现。主界面上有8个标题，分别是打开以下8个功能模块的链接：人事管理、文件审批、审批进度、审计档案、综合查询、流转定稿、电子邮件和文档模板。 图2-3 退出办公自动化系统，用户只需单［退出］即可。
审计部管理信息系统——项目概要
审计部管理信息系统—— 项目概要 The document was prepared on January 2, 2021
项目概要 项目名称：审计管理信息系统 1. 项目背景 全行审计系统拥有八个审计分部、38个总审计室和123个审计办事处，审计人员3300余名，每年完成审计项目近4000个。但是，长期以来，审计工作成果包括审计底稿、审计中发现的问题、审计报告等一直都以纸介质形式分散保存在各级审计机构，对于审计项目、审计人员、审计机构的管理也没有相应科技手段的支持，不利于审计整体优势的发挥、审计成果的有效再利用。为改变这种局面，我部提出开发“审计管理信息系统”。目前，我部正在会同信息技术管理部进行该项目可行性研究工作，计划明年3月份进入项目的正式立项与开发实施。 2. 项目目标 加强审计工作信息化管理，充分利用现代科技手段，实现全行审计人员、审计机构、审计项目、审计成果等信息的综合管理和利用。 3. 需求概述 系统功能需求覆盖了大部分审计日常管理业务和部分现场审计业务，系统主要包括七个子功能：底稿及问题台帐录入、审计机构
管理、审计人员管理、审计项目管理、审计成果管理、查询及分析、系统管理。 4. 与相关系统关系 无。 5. 设备配置概述 初步计划，38个一级分行各安装一台PC服务器，总行两台PC服务器。 6. 投资概算 资本性支出－固定资产：750万，费用230万。 7. 项目计划概述 可行性研究阶段：年月日完成可行性研究报告,进行专家论证,申请立项。 系统开发阶段年月日完成系统开发。 系统测试阶段：年月日完成系统测试。 系统试运行阶段：年月日完成试运行及推广。 系统验收阶段：年月日完成验收。
信息系统审计(IT审计)操作流程(精)资料
信息系统审计(IT审计操作流程 一、审计计划阶段 计划阶段是整个审计过程的起点。其主要工作包括: (1了解被审系统基本情况 了解被审系统基本情况是实施任何信息系统审计的必经程序,对基本情况的了解有助于审计组织对系统的组成、环境、运行年限、控制等有初步印象,以决定是否对该系统进行审计,明确审计的难度,所需时间以及人员配备情况等。 了解了基本情况,审计组织就可以大致判断系统的复杂性、管理层对审计的态度、内部控制的状况、以前审计的状况、审计难点与重点,以决定是否对其进行审计。 (2初步评价被审单位系统的内部控制及外部控制 传统的内部控制制度是为防止舞弊和差错而形成的以内部稽核和相互牵制为核心的工作制度。随着信息技术特别是以Internet为代表的网络技术的发展和应用,企业信息系统进一步向深层次发展,这些变革无疑给企业带来了巨大的效益,但同时也给内部控制带来了新的问题和挑战。加强内部控制制度是信息系统安全可靠运行的有力保证。依据控制对象的范围和环境,信息系统内控制度的审计内容包括一般控制和应用控制两类。 一般控制是系统运行环境方而的控制,指对信息系统构成要素(人、机器、文件的控制。它已为应用程序的正常运行提供外围保障,影响到计算机应用的成败及应用控制的强弱。主要包括:组织控制、操作控制、硬件及系统软件控制和系统安全控制。 应用控制是对信息系统中具体的数据处理活动所进行的控制,是具体的应用系统中用来预测、检测和更正错误和处置不法行为的控制措施,信息系统的应用控制主要体现在输入控制、处理控制和输出控制。应用控制具有特殊性,不同的应用系
统有着不同的处理方式和处理环节,因而有着不同的控制问题和不同的控制要求,但是一般可把它划分为:输入控制、处理控制和输出控制。 通过对信息系统组织机构控制,系统开发与维护控制,安全性控制,硬件、软件资源控制,输入控制,处理控制,输出控制等方而的审计分析,建立内部控制强弱评价的指标系统及评价模型,审计人员通过交互式人机对话,输入各评价指标的评分,内控制审计评价系统则可以进行多级综合审计评价。通过内控制度的审计,实现对系统的预防性控制,检测性控制和纠正性控制。 (3识别重要性 为了有效实现审计目标,合理使用审计资源,在制定审计计划时,信息系统审计人员应对系统重要性进行适当评估。对重要性的评估一般需要运用专业判断。考虑重要性水平时要根据审计人员的职业判断或公用标准,系统的服务对象及业务性质,内控的初评结果。重要性的判断离不开特定环境,审计人员必须根据具体的信息系统环境确定重要性。重要性具有数量和质量两个方面的特征。越是重要的子系统,就越需要获取充分的审计证据,以支持审计结论或意见。 (4编制审计计划 经过以上程序,为编制审计计划提供了良好准备,审计人员就可以据以编制总体及具体审计计划。 总体计划包括:被审单位基本情况;审计目的、审计范围及策略;重要问题及重要审计领域;工作进度及时间;审计小组成员分工;重要性确定及风险评估等。 具体计划包括:具体审计目标;审计程序;执行人员及时间限制等。 二、审计实施阶段 做好上诉材料的充分的准备,便可进行审计实施,具体包括以下内容: (1对信息系统计划开发阶段的审计
信息系统审计重点及应对措施
信息系统审计是一个通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使被审计单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。随着计算机及网络技术的迅速发展，审计机关要想完成“全面审计，突出重点”的审计目标，担负起社会经济运行的“免疫系统”作用，就必须加快信息系统审计的步伐。为此，笔者认为，审计机关要开展好信息系统审计，就必须把握重点，加强组织，制定措施，积极推进。 一、开展信息系统审计应把握的重点 1、信息系统审计的目标和内容 信息系统审计目标：信息系统审计不仅要对系统信息的合法性、公允性进行审计，还要对信息系统的硬件和软件，以及整个信息系统的安全性、稳定性、内部控制的健全性与有效性等方面进行审计，指出被审计单位信息系统内部管理和控制上的薄弱环节，提高其信息系统的可靠性和真实性，有效地防止利用信息技术随意篡改系统信息或破坏磁介质上的数据等舞弊行为的发生。因此，信息系统审计目标不仅仅在于应用计算机进行审计（即传统EDI 审计或计算机辅助审计），更重要的是要对信息系统本身的安全性、稳定性及其实现组织目标的有效性进行实时的检查、评价和改造。 信息系统审计内容：主要包括信息系统开发过程审计、一般控制审计和应用控制审计三个方面。 2、信息系统审计的职能和方式 为了实现审计目标，保证和咨询应成为对信息系统进行审计的两大基本职能。“保证”即“系统可靠性保证”，就是通过对信息系统运行过程、商业连续性能力、维护状况进行评价，合理保证信息系统安全、稳定、有效，它是信息系统审计最基本的职能。“咨询”是指审计人员能够向信息系统的高层管理者以及使用者提供解决问题的方案，以达到改善经营和为组织增加价值的目的。 信息系统审计组织方式：一种是将信息系统审计作为常规项目审计的一部分，是为整个审计项目的总体目标服务的。检查信息系统本身及其内部控制的可靠性和有效性，为数据审计服务，最终通过审计数据得出审计结论，即数据审计、信息系统审计和系统内控审计“三位一体”的结合方式。另一种是独立立项的信息系统审计，直接针对信息系统进行审计，将信息系统本身的安全性、可靠性和有效性作为审计目标。现阶段开展的信息系统审计以第一种方式为主。 3、信息系统审计的依据和原则
审计管理系统(OA)常见使用问题解答
审计管理系统(OA)常见使用问题解答 （2006-5-18） Ⅰ.审计人员 1)问：点击公文标题后，页面显示“正在打开公文”，然后一会就消失了， 没有反应是什么原因？ 答：可能本地电脑上安装了“上网助手”之类的工具，把弹出的公文窗口阻止了，请关闭该工具，重试。 2)问:审计管理系统无法打开公文,总是弹出错误提示窗口 “Error?number?…”请问遇到这类问题怎么解决？ 答: 这种情况需要注意下列原因： （1）客户端IE浏览器的设置是否正确； （2）windows操作系统登录的用户不能为中文，否则有可能导致无法正常打开公文; （3）建议使用office 2000版本, 查看本机是否存在一些上网助手。3)问：为什么在公文办理时，点击打开一个Word文件（或接着再打开另 外一个本地Word文件），Word的菜单项或工具栏内容少了很多？ 答：是因为审计管理系统在使用Word时，对其进行了二次开发以便各种控制需要，把部分不允许使用的功能禁止了。但不对正常的使用产生影响，如在没有打开OA系统内的公文时打开了Word程序，则菜单和工具栏都恢复了原样。在极个别情况下，如果没有恢复，请咨询热线电话，服务人员会很快协助解决此问题。 4)问：公文处理单上的各个区域与公文有什么关系？ 答：公文处理单的区域与公文的各类要素是一一对应的，公文程序通过读取处理单上的各个区域内容，在公文套模版的时候把公文各要素（公文标题、发文字号等）填充到正文的相应位置，所以处理单上正文不应该包括公文各基本要素，而只需要正文内容，否则在套模版的时候就会有重复项。
5)问：当某公文不想阅读时，怎么让其不再在待阅列表中出现？ 答：在待阅公文界面中有个控件按钮“免读”，选择某个待阅公文，点击免读即可。 6)问：在出差期间，需要本人办理的公文怎么处理？ 答：有两种方法：个人办文权限转移和通过委托部门文书管理员 （1）个人办文权限转移 选择“办文权限转移”，选择被委托人和委托开始时间以及委托结束时间，点击“保存”完成个人授权。点击“高级”会弹出如下页面，可以在整个机关选择被委托人员，选择人员后点击“保存”来完成办文权限转移。 提示：委托办理功能的范围为本人所在的部门。 （2）部门文书管理员 以部门文书管理员的身份登录系统，在审计管理区—〉部门文书管理—〉办文权限转移?，出现本部门所有人员列表：选择委托人和被委托人，填写委托开始时间和委托结束时间，然后点击“保存”来完成部门内人员办文权限的转移。 7)问：待阅公文很多，如何让其分类保存？ 答：待阅公文（列表）是已入库公文中，由机关文书分发给你的必需看的文件集合。每个用户在公文管理中都有一个“个人文件夹”，用户根据个人需要在个人文件夹中新建类别组，在已阅公文界面中，选择某个公文点击复制，然后选择要把该公文放在哪个分组里即可，以后可以按照个人分类进行查找已阅过的公文。 8)问：为什么公文列表中点击标题后，不能打开相应公文，同时弹出对话 框错误信息？ 答：一般情况下先确认是否满足如下条件：? （1）操作系统登录时，登录名不能是中文字，必须是英文或拼音，且最好有密码。如果是中文名称，需要新建一个英文用户，建议以后就用此新建的用户登录。 （2）在“internet选项”中，确认“受信任站点”和“安全站点”的列表中是否有您的OA系统的域名或IP。
简述信息系统审计的主要内容(出自第七单元)Word版
传播优秀Word版文档，希望对您有帮助，可双击去除！ 管理学作业答题纸 管理信息系统作业02（第5-8单元）答题纸 学籍号：姓名：分数： 学习中心：专业：____________ 本次作业满分为100分。请将每道题的答案写在对应题目下方的横线上。 题目1 [50 分] 答：内部控制制度审计：为了保证信息系统能够安全可靠地运行，严格内部控制制度十分必要，它可以保证数据功能所产生的信息具有正确性、完整性、及时性和有效性。 应用程序审计：计算机应用程序审计是信息系统审计的重要内容，这是因为企业处理经济业务的目的、原则和方法都体现在计算机程序之中，他们是否执行国家的方针政策，是否执行财经纪律和制度也往往在应用程序中体现出来。 数据文件审计：数据文件审计包括由打印机打印出来的数据文件和存储在各种介质之上的数据文件的审计，包括会计凭证、会计帐本和会计报表，需要通过信息技术进行测试。主要包括三个方面： 测试信息系统数据文件安全控制的有效性； 测试信息系统数据文件安全控制的可靠性； 测试信息系统数据文件安全控制的真实性和准确性。 处理系统综合审计：对信息系统中的硬件功能、输入数据、程序和文件４个因素进行综合的审计，以确定其可靠性和准确性。 系统开发审计： 指对信息系统开发过程进行审计。包括两个目的：一是要检查开发的方法和程序是否科学合理，是否受到恰当的控制；
传播优秀Word版文档，希望对您有帮助，可双击去除！ 答：(1) 模块 通常是指用一个名字就可以调用的一段程序语句为物理模块。 在模块结构图中，用长方形框表示一个模块，长方形中间标上能反映模块处理功能的模块名字。 模块名通常由一个动词和一个作为宾语的名词组成。 (2) 调用 模块间用箭头线联接，箭尾表示调用模块，箭头表示被调用模块。箭尾菱形表示有条件调用，弧形箭头表示循环调用。 调用关系有：直接调用、条件调用（判断调用）和循环调用（重复调用）。(3) 数据 模块之间数据的传递，使用与调用箭头平行的带空心圆的箭头表示，并在旁边标上数据名。箭头方向表示数据传送方向。 (4) 控制信息 为了指导程序下一步的执行，模块间有时还必须传送某些控制信息，例如，数据输入完成后给出的结束标志。 控制信息与数据的主要区别是前者只反映数据的某种状态，不必进行处理。在模块结构图中，用带实心圆点的箭头表示控制信息。
关于信息系统审计的几点体会
关于信息系统审计的几点体会 CIO时代网 为保证审计质量，从本世纪初开始，信息系统审计作为一种全新的审计思维和审计方式越来越收到重视。所信息系统审计，是指通过收集和评价审计证据，对信息系统是否能够保护资产的安全、维护数据的完整、使单位的目标得以有效地实现、使组织的资源得到高效地使用等方面作出判断的过程。在审计中，信息系统审计关注的重点为系统是否存在不安全或不稳定的因素，防止公司的财务和业务数据出现失真。 在我国的审计实践中，信息系统审计成果似乎并明显，原因主要是目前存在以下三大困难：一是审计人员难以在短时间内透彻了解被审计单位的信息系统。一般来说，信息系统有通用和定制两种。通用的信息系统多用于小型的数据管理，由专业的软件公司开发后打包在市场销售，被审计单位人员仅仅是使用者，审计人员无法获得开发设计的细节；而定制的系统多用于大型的数据管理，由软件公司或内部的开发部门根据企业的应用量身定做，这类系统技术文档和技术支持比较完善，但是由于系统过于庞大，细节设计过于复杂，审计人员在有限的审计时间内难以对系统进行评估。二是难以发现系统内的瑕疵。从表面看，信息系统的各项令人眼花缭乱的模块好像都很正常，无论是从开发文档还是操作手册都不会直接列出系统的瑕疵，而且在现场审计中，审计人员一般不允许对正在运行的系统进行测试，较难识别系统的问题。三是难以评估系统瑕疵所导致的后果。在审计实践中，即使审计人员发现了信息系统的瑕疵，但是未发现该瑕疵导致的已经存在的后果，常常使得审计结论缺乏直接证据。 虽然信息系统审计面对以上诸多难题，但是笔者认为审计人员可以打破常规，从以下几个方面创造性地开展审计工作。 首先，审计人员可以通过整体评价被审计单位的信息系统重要性的基础上，确定审计重点。为了提高信息系统审计的效率，选取的系统最好满足下列条件：属于被审计单位的核心业务或财务系统，系统数据的真实性和完整性对被审计单位的安全生产和损益核算有着直接影响，同时要求该系统有着完整的技术文档，最好能够获得数据库管理员和系统开发公司维护人员的支持。当然，如果系统功能很简单，可不受上述条件限制。 其次，审计人员应用内控测试和数据审计两种方式对选定的系统进行分析，一般能迅速找出信息系统存在的瑕疵，尤其是人为舞弊的线索。 1.信息系统的内部控制测试。审计人员在了解系统业务处理流程的基础上对信息系统进行内控测试，然后作出风险评价。根据COSO发布的《内部控制－整体框架》，内控测试主要包含四个方面的内容：对控制环境的测试、对风险的评估、对信息与沟通的测试和对监督的测试。在进行信息系统审计时，可以对目标系统的上述四个方面对系统进行测试评价，测试目的： （1）控制环境管理层的技术和管理水平合格的系统管理层人员需要有技术和业务的双重背景，可以组织系统的运行升级和处理突发的意外情况。否则，容易出现系统不能良好地支持业务运行等情况。 （2）维护和操作人员的技术水平系统的维护和操作人员需要有可以完成工作职责的技术水平，否则容易出现系统无法推广和各种意外频出等情况。 （3）组织结构及职权与责任分配不恰当的职权分配容易给人为篡改数据及越权操作提供便利。 同时，分析系统的组织结构可以确定审计的重点位于集团公司的哪个层面。 （１）企业高层的重视程度企业高层重视系统才能获得足够的资源； （２）与系统有关人员的诚信和道德价值水平该指标评估人员是否有影响系统真实性和安全性的动机；
信息安全审计报告
涉密计算机安全保密审计报告 审计对象：xx计算机审计日期：xxxx年xx月xx日审计小组人员组成：姓名：xx 部门：xxx 姓名：xxx 部门：xxx 审计主要内容清单： 1. 安全策略检查 2. 外部环境检查 3. 管理人员检查 审计记录 篇二：审计报告格式 审计报告格式 一、引言 随着网络的发展，网络信息的安全越来越引起世界各国的重视，防病毒产品、防火墙、 入侵检测、漏洞扫描等安全产品都得到了广泛的应用，但是这些信息安全产品都是为了防御 外部的入侵和窃取。随着对网络安全的认识和技术的发展，发现由于内部人员造成的泄密或 入侵事件占了很大的比例，所以防止内部的非法违规行为应该与抵御外部的入侵同样地受到 重视，要做到这点就需要在网络中实现对网络资源的使用进行审计。 在当今的网络中各种审计系统已经有了初步的应用，例如：数据库审计、应用程序审计 以及网络信息审计等，但是，随着网络规模的不断扩大，功能相对单一的审计产品有一定的 局限性，并且对审计信息的综合分析和综合管理能力远远不够。功能完整、管理统一，跨地 区、跨网段、集中管理才是综合审计系统最终的发展目标。 本文对涉密信息系统中安全审计系统的概念、内容、实现原理、存在的问题、以及今后 的发展方向做出了讨论。 二、什么是安全审计 国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的机密性、完整性、 可控性、可用性和不可否认性(抗抵赖)，简称“五性”。安全审计是这“五性”的重要保障之 一，它对计算机信息系统中的所有网络资源(包括数据库、主机、操作系统、安全设备等)进 行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。 安全审计如同银行的监控系统，不论是什么人进出银行，都进行如实登记，并且每个人在银 行中的行动，乃至一个茶杯的挪动都被如实的记录，一旦有突发事件可以快速的查阅进出记 录和行为记录，确定问题所在，以便采取相应的处理措施。 近几年，涉密系统规模不断扩大，系统中使用的设备也逐渐增多，每种设备都带有自己 的审计模块，另外还有专门针对某一种网络应用设计的审计系统，如：操作系统的审计、数 据库审计系统、网络安全审计系统、应用程序审计系统等，但是都无法做到对计算机信息系 统全面的安全审计，另外审计数据格式不统一、审计分析规则无法统一定制也给系统的全面 综合审计造成了一定的困难。如果在当前的系统条件下希望全面掌握信息系统的运行情况， 就需要对每种设备的审计模块熟练操作，并且结合多种专用审计产品才能够做到。 为了能够方便地对整个计算机信息系统进行审计，就需要设计综合的安全审计系统。它 的目标是通过数据挖掘和数据仓库等技术，实现在不同网络环境中对网络设备、终端、数据 资源等进行监控和管理，在必要时通过多种途径向管理员发 出警告或自动采取排错措施，并且能够对历史审计数据进行分析、处理和追踪。主要作 用有以下几个方面： 1. 对潜在的攻击者起到震慑和警告的作用; 2. 对于已经发生的系统破坏行为提供有效的追究证据; 3. 为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行 为或潜在的系统漏洞; 4. 为系统管理员提供系统的统计日志，使系统管理员能够发现系统性能上的不足或需要 改进和加强的地方。
涉密系统设计解决方案 三员管理
涉密系统设计解决方案——三员管理 一、“三员”职责 系统管理员：主要负责系统的日常运行维护工作。包括网络设备、安全保密产品、服务器和用户终端、操作系统数据库、涉密业务系统的安装、配置、升级、维护、运行管理；网络和系统的用户增加或删除；网络和系统的数据备份、运行日志审查和运行情况监控；应急条件下的安全恢复。 安全保密管理员：主要负责系统的日常安全保密管理工作。包括网络和系统用户权限的授予与撤销；用户操作行为的安全设计；安全保密设备管理；系统安全事件的审计、分析和处理；应急条件下的安全恢复。 安全审计员：主要负责对系统管理员和安全保密员的操作行为进行审计跟踪、分析和监督检查，及时发现违规行为，并定期向系统安全保密管理机构汇报情况。 二、“三员”配置要求 1、系统管理员、安全保密管理员和安全审计员不能以其他用户身份登录系统;不能查看和修改任何业务数据库中的信息；不能增删改日志内容。 2、涉密信息系统三员应由本单位内部人员担任，要求政治上可靠，熟悉涉密信息系统管理操作流程，具有较强的责任意识和风险防控意识；并签署保密承诺书。 3、系统管理人员和安全保密管理人员可由信息化部门
专业技术人员担任，对于业务性较强的涉密信息系统可由相关业务部门担任；安全审计员根据工作需要由保密部门或其他能胜任安全审计员工作的人员担任。 4、同一设备或系统的系统管理员和安全审计员不能由同一人兼任，安全保密管理员员和安全审计员不得由同一人兼任。 三、“三员”权限管理流程 当用户需要使用涉密信息系统时，应该首先在本部门提出书面申请，该部门主管领导批准后，根据实际情况对此用户在系统中的权限进行说明，并将整个情况报本单位的保密工作机构备案。 系统管理员收到用户书面申请后，根据该部门主管领导
简述信息系统审计的主要内容 (出自第七单元)
第1页（共2页） 管理学作业答题纸 管理信息系统作业02（第5-8单元）答题纸 学籍号：姓名：分数： 学习中心：专业：____________ 本次作业满分为100分。请将每道题的答案写在对应题目下方的横线上。 题目1 [50 分] 答：内部控制制度审计：为了保证信息系统能够安全可靠地运行，严格内部控制制度十分必要，它可以保证数据功能所产生的信息具有正确性、完整性、及时性和有效性。 应用程序审计：计算机应用程序审计是信息系统审计的重要内容，这是因为企业处理经济业务的目的、原则和方法都体现在计算机程序之中，他们是否执行国家的方针政策，是否执行财经纪律和制度也往往在应用程序中体现出来。 数据文件审计：数据文件审计包括由打印机打印出来的数据文件和存储在各种介质之上的数据文件的审计，包括会计凭证、会计帐本和会计报表，需要通过信息技术进行测试。主要包括三个方面： 测试信息系统数据文件安全控制的有效性； 测试信息系统数据文件安全控制的可靠性； 测试信息系统数据文件安全控制的真实性和准确性。 处理系统综合审计：对信息系统中的硬件功能、输入数据、程序和文件４个因素进行综合的审计，以确定其可靠性和准确性。 系统开发审计： 指对信息系统开发过程进行审计。包括两个目的：一是要检查开发的方法和程序是否科学合理，是否受到恰当的控制；
第2页（共2页） 答：(1) 模块 通常是指用一个名字就可以调用的一段程序语句为物理模块。 在模块结构图中，用长方形框表示一个模块，长方形中间标上能反映模块处理功能的模块名字。 模块名通常由一个动词和一个作为宾语的名词组成。 (2) 调用 模块间用箭头线联接，箭尾表示调用模块，箭头表示被调用模块。箭尾菱形表示有条件调用，弧形箭头表示循环调用。 调用关系有：直接调用、条件调用（判断调用）和循环调用（重复调用）。(3) 数据 模块之间数据的传递，使用与调用箭头平行的带空心圆的箭头表示，并在旁边标上数据名。箭头方向表示数据传送方向。 (4) 控制信息 为了指导程序下一步的执行，模块间有时还必须传送某些控制信息，例如，数据输入完成后给出的结束标志。 控制信息与数据的主要区别是前者只反映数据的某种状态，不必进行处理。在模块结构图中，用带实心圆点的箭头表示控制信息。
信息系统审计报告
信息系统审计报告 信息系统审计报告 段3结论段4结尾段。（正文段： 1审计目的2审计步骤及时间3审计依据4采用的技术与方法5审计发现）独立性问题决定了信息系统审计的质量。分为形式上的独立性（审计师与被审计企业无任何特殊的利益关系）和实质上的独立性（审计师的超然性，不依赖和屈从于外界压力的影响）审计准则对“独立性”的阐述1职业独立性（对于所有与审计相关的事物，信息系统审计 师应当在态度和形式上独立于被审计单位）2组织独立性（信息系统审计职能应当独立于受审查的范围或活动之外，以确保审计工作完成的客观性）3审计章程或委托书中应当针对审计职能的独立性和义务做出相应的规定4信息系统审计师应该在审计过程中随时保持态度和形式上的独立性5如出现独立性受损的现象，无论是在实质上还是形式上，应向有关当事人披露独立性收损的细节6信息系统审计师应当在组织上独立于被审计的范围7信息系统审计师、管理层和审计委员会应当定期地对独立性进行评估。8除非被其他职业标准或管理机构所禁止，当信息系统审计师虽然参与信息系统项目，但所担当的并不是审计角色时，并不要求信息系统审计师保持独立性。业务持续计划是企业应对种种不可控义素的一种防御和反映机制。灾难恢复计划是造成业务停顿后，如何以最短时间、最少损失恢复业务的方案。影响业务持续能力的因素有：
1应用系统灾难2自然灾难3人为灾难4 社会灾难。 U4业务持续计划是企业应对种种不可控因素的一种预防和反应机制，而灾难恢复计划则是造成业务已经停顿后，如何以最短时间、最少损失恢复业务的处理预案。前者立足于预防，后者立足于事后的补救。业务持续计划目的为了防止企业正常业务行为的中断而建立起来的计划作用： 确保企业的主要业务流程和运营服务，包括支撑业务的信息系统以及设施，能够在事故发生后持续运行保持一定程度的服务，并能尽快的恢复事故前的服务水平。它的制定并不意味着企业不再受任何事故的影响。难恢复计划与业务持续计划的区别灾难恢复计划是基于假定灾难发生后造成业务已经停顿企业将如何去恢复业务，立足于把损失减小到最低程度；业务持续计划基于这样一个基本原则及无论发生任何意外事件组织的关键业务也不能中断，立足于建立预防机制，强调使企业业务能够抵御意外事件的打击，灾难恢复计划是对业务持续计划的必要补充。业务持续计划的实施包括的阶段项目启动、风险评估、业务影响分析、业务持续性策略规划、业务持续性计划编制、人员培训及训练、业务持续性计划测试与演练以及业务持续性计划更新等主要阶段。其中，风险评估、业务影响分析、计划演练、计划更新是关键因素。业务影响分析的目的通过客观的分析，掌握各关键业务可容许中断的最大时间长度，从而制定各关键业务的恢复时间目标、最低的恢复要求、恢复次序以及支持各关键业务恢复所需的各项业务资源。业务影响分析是制定业务持续计划传统步骤中最耗时和最关键的一步，用的是系统化的方法。影响业务持续能力的因素（信息系统灾难）人为因素（分为社会灾难和人为灾难，如人为破坏、攻击系