网络安全审计的审计跟踪

未来一段时期内，审计机关要想完成“全面审计，突出重点”的审计目标，担负起社会经济运行的“免疫系统”作用，就必须要使信息系统审计有所作为，这迫使我们必须加快信息系统审计的步伐。

信息系统审计是一个获取并评价证据，以判断信息系统是否能够保证资产的安全、数据的完整，以及有效率地利用组织的资源并有效果地实现组织目标的过程（国际信息系统审计与控制协会ISACA的定义）。目前审计机关信息系统审计主要有两种方式，一种是将信息系统审计作为常规审计的一部分，为实现审计项目的总体目标服务，即数据审计、信息系统审计和系统内部控制审计“三位一体”的结合方式。信息系统审计和系统内部控制审计为数据审计服务，通过审计数据得出结论。另一种是独立立项的，直接审计信息系统本身的安全性、可靠性和有效性。

二、开展信息系统审计的紧迫性

信息系统审计作为国家审计机关的一项重要工作，是信息化发展到一定程度的必然产物。

（一）开展信息系统审计是控制审计风险的要求。近几年，审计纸质账目时，内部控制也要审计，不能假账真审。同样的道理也不能假电子数据真审，如果被审计单位运载电子数据的信息系统的安全性、可靠性和有效性出现了问题，计算机数据审计就会存在风险，系统的可信与可靠程度是数据审计得以进行的前提和最终实现的基本条件。

（二）开展信息系统审计是全面履行审计职责的要求。信息化环境下的审计，电子数据、信息系统、系统内部控制审计必须“三位一体”，在审计过程中，这三项内容不能少。只有这样，我们才能完成“全面审计，突出重点”的要求，全面履行审计职责。

（一）提高全体审计人员信息系统审计的意识。

“审计人员不掌握计算机技术，将失去审计资格”这一观点基本得到了八万审计人员的认同，这些年计算机在审计领域得到了普遍的应用，数据审计得到了有力的推进，但大多数人对于信息系统审计的认识还不到位，对开展信息系统审计的必要性、紧迫性认识不足，甚至对开展信息系统审计的可行性持怀疑态度。为保证信息系统产生的数据真实完整，信息系统的安全、可靠和有效，重大的审计项目，只要被审计单位应用的是信息系统，我们就必须审计信息系统，检查系统内部控制，只有这样才能防止假账真审。

（二）重视计算机信息系统审计人才的培养，不断提高其审计技能。

计算机信息系统审计对审计人员的专业技能要求较高，除了需要审计人员具备相应的审计技能外，还要具备较高的计算机水平。计算机信息系统审计人员的获得有两个渠道，一是在配备人员时就将计算机技能作为一个必要条件，在实际工作中不断培养其审计技能；二是对现有审计人员进行计算机知识的培训，增强其信息技术审计能力。由于计算机技术涉及的范围广、技术复杂性强、计算机信息技术快速发展的特点，决定了不论以何种方式获得的信息技术审计人员，都要对其进行持续不断的后续教育。

（三）信息系统审计应重点关注三个环节

（1）内部控制环节。

在计算机系统中，应检查以下方面来证明内控制度的有效性：1控制系统资源的存取。包括物理资源，例如终端、服务器、连接盒、相关文档等；还包括逻辑资源，如软件、系统文件和表、数据等。2控制系统资源的使用。用户应该只能对授权给他们的那些资源进行 *** 作。3建立按用户职能分配资源的制度。把重要的任务功能按用户或用户组进行分离，以减少无意的误 *** 作、滥用系统资源和对数据的非授权修改。4记录系统的使用情况。按时间顺序建立一个使用记录，记录内容应包括例外事例和与安全有关的事件是由谁触发的，财务信息的创建、修改和删除是由谁完成的。5确认处理过程的准确性。用产生财务控制信息，确认处理过程的准确完成。6管理人员对财务信息系统的修改。应该保证财务信息系统的所有修改都是经过授权、有文档记录、经过彻底(独立地)测试的，确认最后以一种有控制的方式投入使用。7保护财务信息系统免遭计算机病毒的袭击。必须建立一套控制措施，检测病毒，防止病毒感染财务信息系统。

（2）数据环节。

在审计中，审计人员选择一些交易对其进行详细检查，确认交易记录是否符合一般的审计目标。一是检查会计事项信息，要检查它的完整性、时效性、合规性和信息披露等方面，检查内容包括与本会计年度有关的交易是否全部记录在册；所有记录的交易是否都是合理发生的并与本会计年度有关；记录的交易是否数据准确，计算无误：记录的交易是否符合基本的和辅助的法律规定，符合特定权威机构的要求；对记录的交易是否进行正确的分类，并符合信息对外披露的要求等。二是检查财务报表信息，要检查完整性、存在性、会计计量、所有权以及信息披露等方面，检查内容包括是否记录了所有的资产和负债：所有记录的资产和负债是否都是存在的；对资产和负债的计量是否精确，计算方法是否符合按合理性、一致的标准制定的会计政策的要求：确认资产是被审主体所有的、负债是被审主体应该承担的，并且资产和负债是否由合法的经济活动产生的；资产、负债、资本和存货是否都得到正确的披露。同时对信息系统提供的业务信息也要进行分析，例如每月的工资总数、某阶段的付款清单和订货信息等，要弄清基本的交易情况，并一直追踪到信息源。对上述信息的分析可以采用计算机辅助审计技术，按照特定的标准对数据进行汇总、分类、排序、比较和选择，并进行各种运算。

(3)数据传输转移环节

在信息系统中，有些数据需要在两个财务信息系统或财务信息系统与业务信息系统之间相互转移，在此过程中可能会出现一些问题，尤其是在需要手工重新录入时。因此在审计时要重点关注以下方面：在转移过程中数据可能会发生变化；新的科目代码表与老的可能不一样，需要在两个财务信息系统之间建立复杂的对应关系：中心数据库可能被一些地理上分散的服务器取代；当前财务信息系统中的数据质量不佳；当用一个总的信息系统取代一个预定财务信息系统时，需要补充许多新的数据。在检查这一环节时，一定要保证输出的消息是经过批准、完整和精确的，保证输出的消息在约定时间内准确地发送给指定的接收者，保证流人的消息是完整、准确和真实可靠的。

摘　要 随着信息技术（IT）的飞速发展与广泛应用，内部审计在企业的经营与管理中发挥着日益重要的作用。在新技术环境的背景下，系统地分析内部审计的优势、劣势、机遇与挑战，即进行SWOT分析，对企业的战略发展具有深远意义。为了更好地发挥内部审计职能，企业应秉承“保持优势、弥补劣势、抓住机遇、迎接挑战”的理念，加快内部审计的建设。

关键词 内部审计； IT环境； 信息化

一、IT环境下的内部审计

（一）内部审计的含义

国际内部审计师协会（IIA）在内部审计职业实务框架（IPPF）中对内部审计的定义为：内部审计是一种独立、客观的确认工作和咨询活动，它的目的是为组织增加价值，并提高组织的运作效率。它采取系统化、规范化的方法对风险管理、控制及治理程序进行评价，帮助组织实现其目标。

在IT环境下，企业要不断提高内部审计的战略高度，既要加强IT风险管理，又要顺应科技进步的潮流，加强计算机审计程序的开发与应用。因此，IIA在2009年更新的IPPF中新增了包括信息系统合规治理、信息系统审计风险评估在内的6项内部审计专业实务标准。除此之外，企业的管理者也应该加强对内部审计的重视程度，充分利用各种计算机辅助审计工具与技术，防范IT风险，加强公司治理。

（二）内部审计在企业治理中的作用

IIA倡导：现代企业内部审计通过介入企业的风险管理、治理和控制领域，以促进公司治理结构的完善，并提升企业的管理水平，完善业务流程控制，促进企业价值增加。可见，内部审计在公司治理、控制与风险管理中都发挥着重要作用。

1内部审计是完善公司治理机制的重要内容，是创造公司价值的重要载体

同董事会、管理层、外部审计一样，内部审计也被认为是公司不可或缺的治理主体。一方面内部审计努力识别并预防风险，降低企业损失；另一方面在企业价值链的多个环节发挥作用，增加企业的经济附加值。

2内部审计是完善内部控制的关键要素，对企业的风险管理具有重要意义

内部审计要检查企业内部控制的完整性和有效性，以便发挥内部控制的最大效用。同时，内部审计机构要加强与企业管理部门的合作，促进企业风险管理工作高效进行。

二、IT环境下内部审计的SWOT分析

（一）优势（Strengths）分析

1制度优势

国内外许多法律法规都为IT环境下内部审计的发展提供了制度保障。《国际审计准则15——电子数据处理环境下的审计》，《国际审计准则16——计算机辅助审计技术》在审计人员的工作规范、技术能力，软件应用、效果效率等方面做了具体规定，进而对内部审计工作的开展具有重要的借鉴意义。在国内，《内部审计具体准则第5号——内部控制审计》明确规定了内部控制要素包括信息与沟通，要保证管理信息系统的安全可靠，并将其作为审查程序的重点。随着审计领域相关法律法规的不断完善，内部审计的发展具有明显的制度优势。

2现实优势

IT引起的变革浪潮为企业内部职能的发展带来了革命性变化。信息技术在信息存储、分析数据等方面的优势，促进了审计软件与审计方法的更新与优化，实时审计成为可能。另一方面，信息技术的支撑推动了内部审计由传统的单一财务审计逐渐渗透到企业管理的各个领域，内部审计职能不断强化，在加强企业管理和提高企业经济效益方面发挥着积极作用，因而内部审计的探索发展也具备了现实优势。

（二）劣势（Weaknesses）分析

1信息缺失

在信息时代，信息资源发挥着日益重要的作用，然而其也成为内部审计发展的制约因素。在企业的信息管理中，财务部门出于内部资源的安全性考虑，在一定程度上对内部审计部门获取财物信息具有排斥性，造成内审部门不能及时全面地获取相关财务信息，阻碍了审计实施，降低了审计效率，使审计效果大打折扣。因此，在IT环境下，要加大企业部门间的资源共享，不要让信息缺失影响内部审计职能的发挥。

2人力资源不足

早期内部审计部门的主要职能是查错纠弊，财务会计专业背景的审计人员占了较大比重。随着内部审计职能的拓展，内审人员缺乏相关的计算机技能和经营管理知识，只依靠原有的知识技能是无法胜任IT环境下的审计工作的。虽然企业也在不断加大内审人员的职业后续教育，但仍与新环境下信息技术对内审人员职业素质的要求存在较大差距。

（三）机遇（Opportunities）分析

1审计职能的拓展

内部审计产生初期，其主要职能是对企业内部财务资料进行审计，为企业查错纠弊提供合理化建议。审计职能并非一成不变，随着经济生活日趋复杂，科技迅速发展，内部审计逐步延伸到企业管理与公司治理的各个环节，不断拓展其影响的广度与深度。另一方面，信息技术的发展为内部审计业务拓展了新的领域，传统的财务审计业务逐步扩展到IT治理、IT控制、信息系统的设计与开发等领域，为内部审计职能的发挥提供了广阔空间。

2审计质量的提高

信息技术的发展推动了审计软件在内部审计中的广泛应用，审计人员利用信息化的优势和先进的审计方式所带来的数据支持，大大提高了审计质量和管理水平。同时，现代计算机技术为审计工作实施适时监控提供了可能，充分利用审计软件的 *** 作权限控制功能，对审计质量进行跟踪检查，大大提高了审计工作的质量与效果。

（四）挑战（Threats）分析

1外部机构的威胁

在西方国家，“内部审计外包”在20世纪90年代便引起了广泛关注，越来越多的企业将技术难度大、专业性强的审计工作外包给其他机构。同时，会计师事务所也纷纷争夺企业的内审外包业务，不断拓展其自身的发展领域。内部审计外部化的趋势造成了我国内部审计外委的普遍现象。在我国，由于某些企业不设内部审计部门或者审计能力有限，通常引入社会审计开展工作，这在一定程度上为企业引入了竞争对手。另一方面，专业的IT机构也将目光聚集在审计外包业务上。由于其掌握了先进的信息技术并可以熟练应用，因此在审计外包业务，尤其是信息系统（IS）审计方面具有鲜明的优势。因此在信息化环境下，内部审计人员要不断更新和拓展专业知识，提高业务水平，以应对来自社会审计和IT机构的挑战。

审计跟踪（Audit Trail）指按事件顺序检查、审查、检验其运行环境及相关事件活动的过程。审计跟踪主要用于实现重现事件、评估损失、检测系统产生的问题区域、提供有效的应急灾难恢复、防止系统故障或使用不当等方面。

审计跟踪作为一种安全机制，主要审计目标是：

（1）审计系统记录有利于迅速发现系统问题，及时处理事故，保障系统运行。

（2）可发现试图绕过保护机制的入侵行为或其他 *** 作。

（3）能够发现用户的访问权限转移行为。

（4）制止用户企图绕过系统保护机制的 *** 作事件。

审计跟踪是提高系统安全性的重要工具。安全审计跟踪的意义在于：

（1）利用系统的保护机制和策略，及时发现并解决系统问题，审计客户行为。在电子商务中，利用审计跟踪记录客户活动。包括登入、购物、付账、送货和售后服务等。可用于可能产生的商业纠纷。还用于公司财务审计、贷款和税务监查等。

（2）审计信息可以确定事件和攻击源，用于检查计算机犯罪。有时黑客会在其ISP的活动日志或聊天室日志中留下蛛丝马迹，对黑客具有强大的威慑作用。

（3）通过对安全事件的不断收集、积累和分析，有选择性地对其中的某些站点或用户进行审计跟踪，以提供发现可能产生破坏性行为的有力证据。

（4）既能识别访问系统的来源，又能指出系统状态转移过程。 安全审计跟踪主要重点考虑以下两个方面问题：

（1）选择记录信息。审计记录必须包括网络系统中所有用户、进程和实体获得某一级别的安全等级的 *** 作信息，包括用户注册、用户注销、超级用户的访问、各种票据的产生、其他访问状态的改变等信息，特别应当注意公共服务器上的匿名或来宾账号的活动情况或其他可疑信息。

实际上，收集的信息由站点和访问类型不同而有所差异。通常收集的信息为：用户名、主机名、权限的变更信息、时间戳、被访问的对象和资源等。具体收集信息的种类和数量经常还受限于系统的存储空间等。

（2）确定审计跟踪信息所采用的语法和语义定义。主要确定被记录安全事件的类别（如违反安全要求的各种 *** 作），并确定所收集的安全审计跟踪具体信息内容。以确保安全审计的实效，更好地发挥安全审计跟踪的重要作用。

审计是系统安全策略的一个重要组成部分，它贯穿整个系统运行过程中，覆盖不同的安全机制，为其他安全策略的改进和完善提供了必要的信息。对安全审计的深入研究，为安全策略的完善和发展奠定重要基础和依据。

是的，包括

内部控制审计主要内容

一、内部控制环境，即评价以公司治理结构、机构设置和权责分配、内部审计、人力资源政策、企业文化在内的内部控制环境对企业经营管理活动的影响。

二、风险评估，即分析企业风险控制目的设置的合理性，评价开展风险评估范畴的全面性、风险评估结果的有效性和风险应对策略的科学性。

三、控制活动，即评价企业根据风险评估结果设置的内部控制措施的科学性和控制效果的有效性。

四、内部控制信息和沟通，即评价企业内部控制相关信息在收集、处理和传递程序的科学性，分析信息技术在内部控制信息和沟通中所发挥作用的情况，判断企业在反舞弊工作重点领域相关工作机制的有效性。

五、内部监督制度，即分析企业内部审计机构和其他内部机构在内部监督中的职责权限情况，判断企业实施内部监督的程序、方法和目的要求的科学性，评价内部控制监督制度的有效性。

信息系统审计（又称IT审计）是为了信息系统的安全、可靠与有效，由独立于审计对象的IT审计师，以第三方的客观立场对以计算机为核心的信息系统进行综合的检查与评价，向IT审计对象的最高领导层，提出问题与建议的一连串的活动。IT审计所关注的内容不单纯是对数据的处理，更不仅仅是财务信息，而是对组织整个信息系统的可靠性、安全性进行了解和评价，是一项通过审查与评价信息系统的规划、分析、设计、实现、运行和维护等一系列活动，以确定信息系统运行是否安全、可靠、有效，信息系统得出的数据是否可靠、准确，以及数据是否能有效存储的过程。

IT审计的任务在于站在客观公正的角度上，收集审计信息，生成审计报告，通过审计报告促成信息系统生命周期活动和成果物的改善。实施IT审计能够强化IT投资效果，提高信息系统的安全性，能够客观评价信息系统及信息系统开发，从社会经济和企业、国家信息化投资、安全等方面都具有极大的意义。

以上就是关于浅谈如何开展计算机信息系统审计全部的内容，包括:浅谈如何开展计算机信息系统审计、[IT环境下内部审计的SWOT分析及发展对策]内部审计的内容、网络安全审计的审计跟踪等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！