欢迎来到皮皮文库! | 帮助中心 专注上传文档赚钱的网站
皮皮文库
全部分类
  • 市场营销 >
    市场营销
    营销策划 产品规划 渠道管理 品牌策划 促销导购 终端店铺 连锁加盟 销售管理 推广策略 微博微信营销 公关活动 互联网策划 销售制度 营销学习 客户服务 广告管理 其他文档
  • 设计素材 >
    设计素材
    标志 VI模板 海报 包装 画册 名片模板 PSD分层 终端物料 PPT模板 图标 网页素材 Flash素材 手机APP素材 淘宝素材 其他素材
  • 高清图片 >
    高清图片
    人物图片 风景图片 世界风光 动物图片 运动图片 饮食图片 底纹图案 医药医学 工业图片 科技图片 商业金融 中华图片 中华图案 背景图片 传世名画 其他图片
  • 管理文档 >
    管理文档
    企业管理 财务管理 人力资源 生产管理 学习提升 质量管理
  • 行业资料 >
    行业资料
    3 G 通信 农林牧渔 家电行业 酒店餐饮 保健行业 保险行业 商超卖场 国际贸易 塑胶五金 媒体广告 工程建设 建筑装潢 房产物业 旅游行业 服饰箱包 机械石化 汽车行业 物流运输 美容行业 节能减排 金融行业 食品饮料 教育行业 其他行业
  • PPT模板 >
    PPT模板
  • 办公文档 >
    办公文档
    企划方案 党政文件 公司章程 制度表格 办公资料 劳动保障 合同范本 办公行政 后勤文档 员工手册 商业计划 工作计划 工作总结 招标投标 管理手册 后勤总务 管理表格 董事股东 质量手册 其他
  • 教学课件 >
    教学课件
    研究生课件 MBA管理 大学课件 大学试卷 成人教育 继续教育 自学考试 中学课件 中学教案 中学试卷 中学作文 小学课件 小学教案 小学试卷 小学作文 幼儿教育 职业教育 综合课件
  • 考试资料 >
    考试资料
    外语等级 律师资格 公务员考试 考研 计算机等级 MBA/MPA 国家司法 注册会计 职业资格 出国培训 中考高考 自学考试 其他考试
  • 毕业论文 >
    毕业论文
    管理论文 文学论文 艺术论文 经济学论文 毕业论文 社科论文 法律论文 医学论文 哲学论文 自然科学论文 论文指导设计 开题报告 综合论文
  • 经济金融 >
    经济金融
    经济学 宏观经济 股票投资 期货投资 金融报告 外文报告 行业分析 农业经济 区域经济 投融资租凭 经济著作 金融综合
  • 建筑施工 >
    建筑施工
    建筑论文 建筑管理 市政工程 建筑设计 建筑方案 建筑施工 建筑机械 建筑资料 房地产 公路与桥梁 建筑材料生产技术 建筑综合
  • 首页 皮皮文库 > 资源分类 > PDF文档下载
     

    浅谈信息系统审计中对电子数据轨迹分析.pdf

    • 资源ID:40011       资源大小:656.20KB        全文页数:6页
    • 资源格式: PDF        下载权限:游客/注册会员/VIP会员    下载费用:5金币 【人民币5元】
    游客快捷下载 游客一键下载
    会员登录下载
    下载资源需要5金币 【人民币5元】

    邮箱/手机:
    温馨提示:
    支付成功后,系统会根据您填写的邮箱或者手机号作为您下次登录的用户名和密码(如填写的是手机,那登陆用户名和密码就是手机号),方便下次登录下载和查询订单;
    特别说明:
    请自助下载,系统不会自动发送文件的哦;
    支付方式: 支付宝   
    验证码:   换一换

          加入VIP,免费下载资源
     
    友情提示
    2、PDF文件下载后,可能会被浏览器默认打开,此种情况可以点击浏览器菜单,保存网页到桌面,既可以正常下载了。
    3、本站不支持迅雷下载,请使用电脑自带的IE浏览器,或者360浏览器、谷歌浏览器下载即可。
    4、本站资源下载后的文档和图纸-无水印,预览文档经过压缩,下载后原文更清晰   

    浅谈信息系统审计中对电子数据轨迹分析.pdf

    江苏省审计机关第三届青年审计论坛论文集111浅谈信息系统审计中对电子数据轨迹分析 淮安市审计局 张 铖 一、信息系统下电子数据简介 信息系统是与信息加工,信息传递,信息存贮以及信息利用等有关的系统。在信息化建设高速发展下,信息系统的处理能 力得到很大的提高,所以所说的现代信息系统一般均指人、机共存的系统。信 息系统是一个非常宽泛的概念,信息的载体是数据,数据的具体形式各种各样 ,如数字,文字,图像,声音等等都是数据的形式,文件是数据的集合单位, 数据库是更加复杂的数据文件,文件以某种格式存放在物理介质中。 在信息系统设计、使用中,要规划好涵盖哪 些财务、业务方面的工作;数据以何种方式存储;数据以何种方式注入; 数据安全如何实现;人员权限和模块功能的划分;是否存在与上下级或同级之间的数据交换等方面。 信息系统审计不仅涵盖一般的审计范围,还要 对被审计单位信息系统的安全性、可靠性进行了解、测试与评价,涉及数据、数据流向、数据控制等方面。 被审计单位信息系统从内容上一般分为财务系 统、业务系统、财务业务混合系统三种。财务系统是按会计准则设计的, 审计人员较为熟悉;业务系统是专为被审计单位的业务工作开发的,满足业务 工作的需要,审计人员需要了解被审计单位的工作范围和数据、控制流程;财 务业务混合系统是将上述两个方面合并到一个系统中,本单位的工作均在其上 实现。从来源上一般分为通用商业软件、修订功能和模块后的商业软件、系统 内配发软件、合作开发软件、自行开发软件、免费软件等。 电子数据在信息系统中按照软件流程经过注入 、转发、修订等一系列规定程序,最终完成操作。 信息系统审计针对不同来源、不同系统、不同 数据库、不同开发者、不同功能的各种信息系统软件,抓住电子数据轨迹分析是一种简便的方法。 二、电子数据轨迹 电子数据轨迹,是指在财务核算和业务操作中 通过编码、交叉索引和流程控制,连接电子操作与原始交易数据所提供的 一连串的信息。信息系统应为每笔业务、每项经济活动提供一个完整的电子数 据轨迹,该电子数据轨迹需要有迹可循并长期保存。 112 江苏省审计机关第三届青年审计论坛论文集在电子环境下,那些原来审计人员常见的记帐 凭证、明细帐表、科目汇总表、有个性的笔迹等资料有的消失,有的发生 了变化,变得更加隐藏、更加复杂。如果不能针对电子数据轨迹进行分析,审 计人员就不能验证和追查经济活动,信息系统审计也就失去意义。电子数据轨 迹不仅对审计人员重要,对被审计单位也很重要,被审计单位可使用电子数据 轨迹来答复客户对有关资料的询问或质疑。 我国信息系统的开发正处于从起步到形成产业 的阶段,由于被审计单位只考虑到运行稳定和运行效率,在减低研制成本 的前提下,软件开发在设计开发中,对如何充分保留并提供电子数据轨迹却未给予足够重视。 三、电子数据轨迹分析 电子数据轨迹从信息系统构成的各个环节都有 得到体现的可能,组成信息系统的商业软件都都记录功能。 (一)应用软件 财务软件目前市场占有率较高的公司有金蝶 、用友和安易、新中大等,其软件产品也较丰富。一种较为普通的电子数 据轨迹就是上机日志,各系统随时对各个产品或模块的每个操作员的上下机时 间、操作的具体功能等情况都进行登记,形成上机日志,以便使所有的操作都 有所记录、有迹可寻。由于上机日志数量庞大,为了便于审计人员有重点地进 行选择,迅速发现问题,通常系统还会提供过滤功能,这样,审计人员就可以 选择那些在符合性测试中发现的较薄弱的内部控制环节进行有重点的实质性测 试,提高工作效率。但是,某些被审计单位因数据空间或操作人员习惯等原因 ,对上机日志做清理而未备份,对审计工作带来不便。 业务软件由于被审计单位业务千差万别且没 有一个全国性的统一规范,软件采用的操作系统、数据库、表设计、流程均不一致,有的软件带日志文件,有的不带。审计时只能做参考备选考虑。 (二)数据库软件 数据库软件经过多年发展,产品线十分丰富, 但也给审计人员对电子数据轨迹的分析带来了难度。 1、Microsoft SQL Server2000 Microsoft Sql Server 是企业信息管理系统中应用较为广泛的一种数据库管理系统,从版本上看,其产品主要有 SYBASE SQL SERVER, Microsoft SQL SERVER4,Mic rosoft SQL SERVER6,Microsoft S QL SERVER6.5,Microsoft SQL SERVER7.0,Microsoft SQL SERVER2000,Micr osoft SQL SERVER 2005。 审计人员在对电子数据轨迹中可以利用的工具是 SQL SERVER PROFILER,该工具的目的是为了捕捉系统的活动,用于分析、诊断江苏省审计机关第三届青年审计论坛论文集113和审计系统的性能可通过适当的设置来规划的 电子数据轨迹。为了使用这一工具,必须创建一个跟踪定义,一旦定义了跟踪 ,我们就可以启动、停止、暂停和继续运行跟踪。当其运行时,SQL SERVER PROFILER 监测指定服务器上的SQL SERVER 事件,并且为所选的事件捕捉满足过滤条件的指定数据。当这种跟踪数据被捕捉时可以交互显示,并且将跟踪 结果存储在指定的表或文件中。SQL SERVER PROFIIER 提供了由用户定义跟踪事件数据的功能,但这一功能是有限的。一个更可行更灵活的方案是利用 Microsoft SQL SERVER2005 提供的触发器技术。 但上述操作必须提前启动,如果被审计单位未 启用,审计人员无法对以前操作分析。根据审计经验,如果部署信息系统 时未启动该功能,被审计单位自行启用的可能性不大。 2、ORACLE8 数据库从其安全性考虑,设有多个安全层,并且可以对各层进行审计,审计记录可以写入 SYS.AUD$的审计踪迹,可以被审计的三种不同的操作类型包括注册企图、对象访问和数据 库操作,利用其中的对对象的数据交换操作审计功能,就可以获得相应的电子数据轨迹。 要使数据库允许审计, 必须在 INIT.ORA 文件中的 AUDITTRAIL 值设为 DB(允许审计,并将审计结果写入 SYS.AUD表),对于特定的表(如 ACCOUNT表) ,我们所需要的电子数据轨迹主要是插入(INSERT) 、删除(DELETE)和更新(UPDATE)操作,可以利用以下的语句来进行AUDIT INSERT ON ACCOUNT BY ACCESS;AUDIT UPDAT E ON ACCOUNT BY ACCESS;AUDIT DELETE ON ACCOUNT BY ACCESS;上述语句指定了一个审计记录在每次插入、删除和更新 ACCOUNT 表时写入,审计记录结果可以通过对 DBA-AUDIT-OBJECT 视图的查询进行显示。 如果在 SYS. AUD上储存信息,就必须先保护该表,否则用户可通过非法操作来删除电子数据踪迹,由于 SYS. AUD是存在数据库内的,可通过以下命令来保护该表AUDIT ALL ON SYSAUD BY ACCESS;而且对该表的操作只能由具有 CONNECT INTERNAL 能力的用户来删除(例如,在 DBA 组中) 。 另外,也可以使用 ORACLE 的触发器。 3、其他数据库 ACCESS、FOXPRO 等数据库不记录日志文件,直接利用数据库本身来分析电子数据轨迹是很困难的。 (三)操作系统层 市场上分为 Windonws,Linux,Unix,Unix 一般用于大型、覆盖面大的单位如海关、银行等。 1、 Windows 是微软的操作系统, 自带安全机制,它将安全策略地分成两类114 江苏省审计机关第三届青年审计论坛论文集帐户策略和本地策略。其中,本地策略包括审 核策略、用户权利指派和安全选项,其中的审核策略就是用来指定要记录的事 件类型,这些类型涉及从系统范围的事件(例如用户登录)到指定事件(例如某用户试图读取某个特定文件),这些事件包括成功事件、不成功事件或兼而有 之。审核记录写入计算机的安全日志,通过“事件查看器”我们可以获得部分审计轨迹。 为了控制各种审计轨迹文件的数量,同时为了 保护重要文件(包括审计踪迹文件)不被非法删除、修改,Windows 新的“加密文件系统” (EFS 提供了一种核心文件加密技术,该技术用于在 NTFS 文件系统卷上存储已加密文件。对已加密的文件的用户,加密是透明的。但是, 试图访问已加密文件的入侵者将被禁止这些操作。具体操作时既可以通过为文 件设置加密属性,也可以用命令行功能 CIPHER 加密文件。当然,利用文件和文件夹权限设置功能,也可以控制各种电子数据轨迹文件的数量。 2、UNIX 操作系统从安全性来讲,普遍的观点是 UNIX 操作系统的安全性能高于 Windows 操作系统,正因为如此,UNIX 操作系统也为我们提供了获取更多,更精确的审计轨迹的可能性。UNI X 能自动生成很多日志文件,这些日志文件可以形成我们的审计轨迹。 UNIX 的日志分为三类 (1)连接时间日志-由多个程序执行,把纪录写入到/var/log/wtmp 和/var/run/Utmp,login 等程序更新 wtmp 和 utmp 文件,使我们能够跟踪谁在何时登录到系统。 (2)进程统计-由系统内核执行。当一个进程终止时,为每个进程往进程统计文件(pacct 或 acct)中写一个纪录,进程统计的目的是为系统中的基本服务提供命令使用统计。 (3)错误日志-由 syslogd 执行。各种系统守护进程、用户程序和内核通过syslog 向文件/var/log/messages 报告值得注意的事件。另外有许多 UNIX 程序创建日志,像 HTTP 和 FTP 这样提供网络服务的服务器也保持详细的日志。 这三类日志中,连接时间日志是我们从中发现 电子数据轨迹的最重要的一类,其中的 utmp、wtmp 和 lastlog 日志文件是多数重用 UNIX 日志子系统的关键-保持用户登录进入和退出的纪录。有关当前登录用户的信息记录在文件 utmp中登录进入和退出纪录在文件 wtmp 中最后一次登录文件可以用 lastlog 命令察看。数据交换、关机和重起也记录在 wtmp 文件中,所有的纪录都包含时间戳。 另外,一旦启动进程统计子系统,UNIX 可以跟踪每个用户运行的每条命令,从中也可以建立我们的电子数据轨迹。 江苏省审计机关第三届青年审计论坛论文集115(四)网络环境(网络安全) 电子数据是通过计算机网络进行传输的,传输 的数据是否准确和安全,涉及计算机网络技术的可靠性和网络系统的安全 管理问题。计算机网络技术已经基本成熟,但网络上的数据传递的安全仍然是 一个重要的问题,需要审计人员关注的是系统数据的安全评价问题。 对等网络虽然具有廉价、易于建立、运行和维 护等优点,但对于企业级的联网选择来说,这绝对不是一个最佳选择,由 于网络中每台计算机地位均等,要对整个网络进行管理就缺乏手段,同样要查 找有效的电子数据轨迹就较为困难了。 四、电子数据轨迹标准的分析设想 (一)应用软件层 首先,应设置相应的安全访问控制,记录各种 访问,尤其是数据更改、删除和新增的记录必须保留。其次,从报表审计 角度,必须提供从凭证到报表数据和从报表数据到凭证以及凭证与凭证之间的 查询工具。最后,各种电子凭证必须具备防抵赖、防伪造和可追溯性,如可采 用可靠的电子签名来代替原有的手签。 数据库层、操作系统层和网络环境 在这些层面,主要是考虑安全访问控制,必须 严禁各种非法的未经授权的数据访问,必须记录数据更改、删除和新增的 操作,同时应能自动保护记录电子数据轨迹的文件。 (三)保护电子数据轨迹 1、从硬件上保护电子数据轨迹,一旦系统投入运行,如出于某种原因需要对某些设备更换、更改布局、更改设置或升级 ,必须将其对电子数据轨迹的影响纳入产品选择或更改的考核范围。 2、从软件上保护电子数据轨迹,必须进行系统开发审计模块,系统开发审计模块是对被审单位的信息系统的开发、修改 及日常维护过程的审计。对系统开发进行审计的主要目的是确保开发经过授权 ,开发过程遵循正确的标准,修改部分在使用前经过充分的测试和记录。系统 开发审计的内容系统开发审计包括应用程序开发审计、程序修改审计和系统 维护及记录审计。其中,应将电子数据轨迹的保护作为审计的一项重要内容。 3、从网络应用上保护电子数据轨迹,应加强网络安全管理,保护电子数据轨迹。安全管理是网络管理中极其重要的内容 ,它涉及法规、人事、设备、技术、环境等诸多因素,是一项难度很大的工作 ;单就技术性方面的管理而言,依据 OSI 安全体系结构,可分为系统安全管理、安全服务管理和特定的安全116 江苏省审计机关第三届青年审计论坛论文集机制管理。其中,后两类管理分别是针对涉及 某种特定、具体的安全服务与安全机制的管理;而系统安全管理则又包括总体安全策略的管理(维护与修改)、事件处理管理、安全审计管理、安全恢复管理 以及与其他两类安全管理的交互和协调。 (四)内部控制制度 1、职责分离除传统的业务执行、记录、批准职能分离外,程序设计、系统维护、业务操作和内部审计各类职责也应分离。 2、内部审计除传统审计业务外,还应设置系统安全审计、系统开发审计等岗位。 3、制定各种规章制度包括数据接触制度、数据储存、备份与更改制度、程序设计与更改制度、系统管理与维护制度和各种内部审计制度。 随着信息化的发展,电子数据轨迹是审计人员必须面对的一大课题。建立、保护、再现审计轨迹是我们每一个审计工作者 的职责,而消除、破坏、隐藏审计轨迹又是每一个企图提供虚假信息者必须考 虑的手段,这一对矛盾的发展,必将推动对电子数据轨迹的研究。

    注意事项

    本文(浅谈信息系统审计中对电子数据轨迹分析.pdf)为本站会员(赶快写论文)主动上传,皮皮文库仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对上载内容本身不做任何修改或编辑。 若此文所含内容侵犯了您的版权或隐私,请立即通知皮皮文库(发送邮件至3093941054@qq.com或直接QQ联系客服),我们立即给予删除!

    温馨提示:如果因为网速或其他原因下载失败请重新下载,重复下载不扣分。




    关于我们 - 网站声明 - 网站地图 - 资源地图 - 友情链接 - 网站客服客服 - 联系我们

    copyright@ 2008-2018 皮皮文库网站版权所有
    经营许可证编号:京ICP备12026657号-3 

    收起
    展开