cisa_it審計實務(wù)培訓(xùn)2-審計實務(wù)

《cisa_it審計實務(wù)培訓(xùn)2-審計實務(wù)》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、Feb,2008金融企業(yè)IT審計實務(wù)培訓(xùn)——2.實務(wù)、方法與工具楊洋（yycisa@263.net）楊洋，yycisa@263.netFeb,2008主講人簡介楊洋管理學(xué)博士（信息管理與信息安全方向，同濟大學(xué)）會計學(xué)學(xué)士、碩士（東北財經(jīng)大學(xué)）高級程序員（1998），CISA（2002）,SCJP，IBM電子商務(wù)咨詢師，IBMWSADDeveloper目前為同濟大學(xué)電信學(xué)院博士后，主要研究領(lǐng)域：基于移動計算的安全接入關(guān)鍵技術(shù)楊洋，yycisa@263.netFeb,20081.文檔復(fù)核2.面詢與問卷設(shè)計3.比對技術(shù)4.

2、業(yè)務(wù)觀察與穿行測試5.滲透測試6.數(shù)據(jù)測試7.數(shù)據(jù)采集與分析一、常用審計方法概述楊洋，yycisa@263.netFeb,2008理解目標背景理解風(fēng)險點與內(nèi)控理解系統(tǒng)目標與期望業(yè)務(wù)輸出理解系統(tǒng)架構(gòu)發(fā)現(xiàn)異常與違規(guī)1.文檔復(fù)核楊洋，yycisa@263.netFeb,20082.面詢與問卷設(shè)計面談準備：背景研究確定對象內(nèi)容、時間和地點面談實施：時間控制氣氛把握記錄方式確認后續(xù)分析楊洋，yycisa@263.netFeb,20082.面詢與問卷設(shè)計問卷調(diào)查問題設(shè)計目的性問卷對象：專業(yè)性與客觀性答案的明確性如何避免答案失真楊

3、洋，yycisa@263.netFeb,20083.比對技術(shù)源代碼比對目標代碼比對特征值比對楊洋，yycisa@263.netFeb,20084.業(yè)務(wù)觀察與穿行測試實際崗位分工與制度是否一致穿行測試（walk－through）：實際流程是否一致安全意識匯報路線：權(quán)責(zé)是否一致楊洋，yycisa@263.netFeb,2008模擬攻擊行為，發(fā)現(xiàn)漏洞關(guān)鍵：實施風(fēng)險分析全面?zhèn)浞菖c恢復(fù)計劃委托專業(yè)機構(gòu)5.滲透測試楊洋，yycisa@263.netFeb,20086.數(shù)據(jù)測試測試選擇重要模塊數(shù)據(jù)設(shè)計覆蓋各種情況：數(shù)據(jù)類型、編碼違

4、規(guī)、違反邏輯條件、數(shù)據(jù)文件不一致……來源：實際業(yè)務(wù)數(shù)據(jù)、用戶測試數(shù)據(jù)、審計師測試數(shù)據(jù)、自動生成數(shù)據(jù)一般方式：黑盒白盒楊洋，yycisa@263.netFeb,20086.數(shù)據(jù)測試測試類型ITF(生產(chǎn)環(huán)境中用測試用例）輸入標記消除影響平行模擬(SQL,EXCEL+VBA)開發(fā)原型新舊系統(tǒng)交接楊洋，yycisa@263.netFeb,20087.數(shù)據(jù)采集與分析直接獲取系統(tǒng)數(shù)據(jù)，特別是業(yè)務(wù)輸入與業(yè)務(wù)輸出分析性復(fù)核楊洋，yycisa@263.netFeb,20087.數(shù)據(jù)采集與分析GAAT：ACL、IDEAACCESS、SQ

5、LServerSPSS、EXCEL工具的選擇：功能與易用性使用習(xí)慣與方便獲取楊洋，yycisa@263.netFeb,20081.對組織管理架構(gòu)的審計2.對IT外包的審計3.對IT基礎(chǔ)設(shè)施與環(huán)境的審計4.對備份和業(yè)務(wù)持續(xù)性的審計5.對開發(fā)和獲取過程的審計6.對系統(tǒng)變更過程的審計二、一般控制審計實務(wù)楊洋，yycisa@263.netFeb,20081.對組織管理架構(gòu)的審計組織模式對系統(tǒng)風(fēng)險的影響分布式/集中式IT治理崗位分工楊洋，yycisa@263.netFeb,2008IT崗位分權(quán)控制小組系統(tǒng)分析員應(yīng)用程序員數(shù)據(jù)錄

6、入員操作員數(shù)據(jù)庫管理員安全管理員備份管理員系統(tǒng)程序員質(zhì)量保證小組控制小組系統(tǒng)分析員應(yīng)用程序員數(shù)據(jù)錄入員操作員數(shù)據(jù)庫管理員安全管理員備份管理員系統(tǒng)程序員質(zhì)量保證小組楊洋，yycisa@263.netFeb,20081.對組織管理架構(gòu)的審計關(guān)鍵風(fēng)險和控制參考材料：“IT組織管理架構(gòu)審計要點”案例討論：案例1：大連某企業(yè)工資核算系統(tǒng)案例2：某企業(yè)雇員退出管理漏洞與案件楊洋，yycisa@263.netFeb,20082.對IT外包的審計外包審計的主要關(guān)注點核心競爭力信息安全系統(tǒng)可靠性業(yè)務(wù)長期可持續(xù)性楊洋，yycisa@26

7、3.netFeb,20082.對IT外包的審計關(guān)鍵風(fēng)險和控制參考材料：“IT外包審計要點”案例討論：案例1：某通信服務(wù)企業(yè)充值卡案件案例2：澳大利亞政府部門IT外包綜合審計楊洋，yycisa@263.netFeb,20083.對IT基礎(chǔ)設(shè)施與環(huán)境的審計審計范疇硬件環(huán)境與防災(zāi)主機硬件安全底層支撐系統(tǒng)安全通信線路安全數(shù)據(jù)存儲/IO安全物理訪問控制……楊洋，yycisa@263.netFeb,20083.對IT基礎(chǔ)設(shè)施與環(huán)境的審計審計依據(jù)GB計算站相關(guān)標準ISO17799/BS7799GB建筑、防雷等相關(guān)標準楊洋，yyci

8、sa@263.netFeb,20083.對IT基礎(chǔ)設(shè)施與環(huán)境的審計關(guān)鍵風(fēng)險與控制參考材料：“IT基礎(chǔ)設(shè)施審計要點”案例討論：案例1：打印共享設(shè)備物理訪問安全案例2：某跨國企業(yè)信息系統(tǒng)滲透測試過程與結(jié)果楊洋，yycisa@263.netFeb,20084.對備份和業(yè)務(wù)持續(xù)性的審計關(guān)鍵風(fēng)險與控制參考材料：“BCP審計要點”案例討論某企業(yè)災(zāi)難恢復(fù)計劃