信息系统架构控制与审计(精)

NANJINGAUDITUNIVERSITY第三章信息系统架构控制与审计要保证信息系统安全、可靠、有效的运营，离不开信息系统架构的有效控制及审计。信息系统架构包括：信息系统硬件、信息系统软件以及信息系统网络环境。第一节硬件与系统软件控制一、信息系统硬件控制信息系统硬件一般包括：服务器、工作站、移动计算设备、存储设备、网络设备等信息系统硬件的控制涉及：硬件获取、维护、系统监控、能力管理等（一）硬件获取管理者需要考虑的问题：何时购买？谁决定获取什么样的系统？系统如何安装、使用、维护？如何对员工培训？NANJINGAUDITUNIVERSITY为了获取满足企业需要的硬件，应采取相应的控制措施。关键控制点：1、制定硬件获取计划目的：适合组织计划；具有兼容性、扩展性和可靠性2、建立硬件需求标准3、确定购买时间和编制成本预算4、供应商选择一般方式：招标相关文档：招标书（或：请求建议书）第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY招标书（请求建议书）应包含的主要内容：（1）组织环境（集中式，或分布式环境）。（2）处理需求。包括：组织的业务需求，计算机硬件负载与性能要求，计算机信息处理途径。（3）硬件需求。包括：CPU处理速度、外部设备、终端设备与数目、网络设备。（4）系统软件环境及其需求。包括：计算机操作系统、编译环境、数据库管理软件、通信软件以及访问控制软件等。（5）支持需求。包括系统的维护、操作人员的培训以及备份。（6）适应需求。对采购硬件的兼容性以及对现有设备和装置地影响有明确定义。（7）实施需求。规定设备的测试、实施与系统转时间安排。（8）约束条件。硬件采购的容量，现有员工及其操作水平以及交付日期。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY5、对投标书或建议书从技术和商务层面的评估；考虑因素：技术、价格；成本/效益；供应商的财务状况、维护与支持能力；有关供应商设备的使用情况与评价。选择供应商。评价技术指标：（1）停转时间；（2）响应时间；（3）吞吐量；（4）负载；（5）兼容性；（6）容量；（7）利用率。（二）硬件维护主要控制点：制定明确的维护计划；记录硬件维护的执行过程并形成文档；明确维护的硬件资源信息、维护日程表、维护成本；记录可提供特殊设备维护的服务商信息；明确维护纪录的保存和审计轨迹；明确管理层的维护监控。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY（三）硬件监控硬件监控目的：确保硬件的可用性与可靠性，保证组织利益。关键控制点：实时记录硬件有关运用情况；硬件问题的对应解决程序、补救措施；硬件监控形成文档。主要包括：1、硬件错误报告——标识出CPU、输入输出、电源和存储故障。2、可用性报告——指出系统工作正常的时间段。3、利用率报告——记录了机器和外设的使用情况。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY（四）硬件容量管理管理目标：根据总体业务的增长或减少动态地增减资源，以确保可用资源的有效利用，预计硬件需求。关键控制点：明确的硬件容量管理计划；存在相应管理、执行措施；计划的及时更新；实施动态监控。计划的考虑因素：1、CPU使用率；2、计算机存储设备使用率；3、终端使用率；4、远程通信和网络带宽使用率；5、输入输出信道使用率；6、使用人数；7、新技术；8、新应用程序；9、服务水平协议。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY二、系统软件控制系统软件包括：操作系统、数据库管理系统、通信软件、数据管理软件、作业调度软件、程序库管理系统、磁带/磁盘管理系统和系统工具软件。系统软件涉及：系统软件获取与实施、系统软件变更、系统软件版本与许可、系统软件设置（一）系统软件获取与实施关键控制点：系统软件的计划、可行性研究；系统软件对应用需求的支持；系统软件的易用性、兼容性、可移植性、安全性；系统软件的维护及版本管理；系统软件的成本控制；人员培训。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY（二）系统软件变更控制控制内容：变更授权；管理层和相关人员清楚并参与到系统软件的变更过程中；确保变更不会破坏现有处理流程；变更控制程序的影响评估；制定有适当的备份/恢复程序使得一旦发生安装失败，能使其影响最小化；对系统投入实际运行前所有测试结果进行记录、审查并得到相关领域技术专家的认可。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY（三）系统软件版本与许可控制目的：防止盗版软件的缺陷；避免组织面临的诉讼风险；维护组织利益。关键控制点：制定防范非授权使用和拷贝软件的策略和程序文件；及时审查所有标准的、已用的和许可的应用及系统软件列表；建立软件安装的集中控制和自动分发（包括取消用户安装软件的能力）机制；建立PC机的无盘工作站，控制通过安全局域网来访问应用程序；安装计量(Metering)软件，并要求所有的PC通过该计量软件来访问应用程序；定期扫描PC，确保PC中没有安装非授权的软件拷贝；购买许可。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY（四）系统软件设置控制目的：满足系统环境需求；防止隐藏的错误和数据毁坏；防止非授权的访问和不准确的日志。关键控制点：建立控制选项和/或参数的保护措施；控制选项和/或参数设置的合理性、完整性控制；控制选项和/或参数的日志文件的分析评价；使用访问控制软件。应关注的日志文件项目内容：生产处理所用数据文件的版本；对敏感数据的程序访问；调度并运行的程序；操作系统的操作；数据库；访问控制。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY第二节硬件与系统软件审计一、信息系统硬件审计主要包括以下环节：1、审计硬件获取计划检查硬件获取计划是否定期地与管理层的硬件计划进行比较；审查环境是否足以适应当前安装的硬件以及根据已批准的硬件获取计划将要增加的硬件；审查硬件获取计划是否和IS计划同步；审查硬件获取计划是否考虑了现有设备及新设备的技术退化；检查软硬件规格、安装要求以及交货时间等说明的准确性。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY2、审计硬件容量管理程序和性能评估程序检查它们是否能保证对硬件和系统软件的性能和能力进行连续的审查；审查管理层的硬件性能监控计划中使用的标准是否基于历史数据和分析结果（来自IS故障日志、处理日程表、作业计账系统报告和预防性的维护日程表及报告）。3、审查微机（PC）采购标准检查管理层是否已经发布了关于微机获取及使用的书面的政策性陈述，而且已经传达给了用户；检查微机获取标准是否已经建立，而且设计了程序和表格以实现获取的批准流程；确认获取微机的请求经过了成本—效益分析；确认所有微机均由采购部门集中采购以获得批量折扣或其他质量上的好处。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY4、审查硬件变更控制检查是否及时通知调度人员关于硬件配置的变更情况；检查管理层是否已经设计并强制实施变更日程表；确认在硬件变更实施前信息系统部门内使用的操作员文档已经进行了适当的修订；确认变更计划提出及时，未对正常的IS处理产生影响；确认所有硬件变更情况已经通知系统程序员、应用程序员和IS职员，以确保对变更和测试进行适当的调整；确认变更得到有效实施，没有干扰正常的应用生产处理。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY二、系统软件审计审计内容：审查相关程序和文档（如：系统软件选项设置的审查和批准流程、软件实施的测试程序、测试结果的审查和批准程序、系统软件实施程序以及文档需求等系统软件相关文档）；检查系统软件选择程序。确定系统软件的选择满足系统计划和业务计划、处理和控制要求、信息系统和业务实际需求；审查系统软件获取可行性研究和选择流程；审查系统软件采购、实施、变更控制、版本与许可、软件设置。重点关注以下环节：第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY1、审计成本—效益分析，确认系统软件采购充分考虑了成本控制检查和产品相关的直接财务成本；检查产品维护成本；审核产品的硬件需求和能力；检查培训和技术支持需求；检查产品对处理的可靠性的影响；审核产品对数据安全的影响；审核供应商的财务稳定性。2、审计系统软件的安装控制，确保实施新系统的变更有相应控制检查系统变更已在所有相关的软件层上实现，并且CPU也已作了相应的升级；确认系统软件变更被安排在对IS处理影响最小的时间进行；检查是否已为测试系统软件的变更制定了书面计划；检查测试是否按计划完成；第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY确认测试期间遇到的问题已经得到解决，并且进行了重新测试；检查测试程序是否足以提供合理的保证，保证变更后的系统已经纠正了已知问题且没有产生新的问题；检查软件在进入生产环境前是否进行标识；检查是否存在产品安装失败后的回退和恢复程序。3、审计系统软件维护与变更控制检查对系统软件的变更是否已经进行了归档；审核当前的软件版本是否得到供应商的支持；确保只有必要的人员才能访问包含系统软件的程序库；确认软件的变更在实施前必须进行充分的记录和测试；确认软件从测试环境移至生产环境前已经进行了适当的授权。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY4、审计系统软件安全控制检查是否已经建立了程序来限制对逻辑访问控制的规避；检查是否已经建立了程序来限制对系统中断功能的访问；确认系统软件提供了足够的安全特性；检查现存的物理和逻辑安全规定是否足以限制对主控台的接触；确认系统软件供应商提供的安装口令已经在安装时进行了修改。ISA应特别关注：（1）有关系统文档、日志文件；（2）软件实施测试的控制及全面性；（3）有关数据库控制。主要包括：数据访问、数据库系统变更、数据字典、数据库逻辑模型和物理模型的一致性、主键和外键、字段索引、数据库安全、数据库与应用系统的接口，等。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY第三节信息系统网络架构风险与控制组织内部存在多种类型的网络系统：局域网、广域网、互联网、专用网、语音网，等。企业信息系统下主要有两种网络构架：局域网、互联网网络计算模式：C/S（客户/服务器）计算模式一、局域网风险与控制局域网的主要组成：传输介质及网络软件、终端机、共享的辅助设备、网络服务器及其应用。虚拟局域网（VLAN）：由软件配置1、局域网风险主要有：第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY硬件因素：（略）软件因素：（1）局域网变更风险；（2）局域网软件版本控制风险（网络软件的漏洞）；（3）身份认证控制风险；（4）通信安全风险；（5）授权控制风险；（6）内部人员风险；（7）日志文件被破坏风险；（8）来自互联网威胁的风险。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY局域网控制策略：（1）身份识别技术：可重用密码、远程认证拨入用户服务（RADIUS)、终端访问控制、访问控制系统、公钥基础设施(PKI)、智能卡、生物特征识别;（2）主机和应用安全：文件系统完整性校验、主机防火墙、主机入侵检测系统(HIDS)、主机防病毒;（3）网络防火墙;（4）内容过滤：代理服务器、Web过滤、电子邮件过滤;（5）网络入侵检测系统(NIDS)：基于特征的网络入侵检测系统、基于异常的入侵检测系统;（6）加密技术：第2层(L2)加密、网络层加密、第5层至第7层加密、文件系统加密；（7）服务器控制数据传输、保护病毒软件、安装屏幕保护程序或消隐程序、配置控制、日志审计权限管理；（8）硬件物理访问控制、备份机制、灾难性的破坏准备。第三章信息系统架构控制与审计NANJINGAUDITUNIVERSITY二、客户机/服务器构架安全企业通常采用的网络计算模式：客户机/服务器模式（C/S）最主要优点：信息的分布式处理、成本低、方便