信息科技风险审计方法及过程

《信息科技风险审计方法及过程》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息科技风险审计方法及过程——摘自北京时代新威信息技术有限公司《信息科技风险审计战略部署》为帮助银行客户满足银监会《商业银行信息科技风险审计管理指引》等相关监管要求，同时进一步加强信息技术建设，全面强化风险管理，越来越多的企业已经开始为多家银行提供信息科技风险审计服务了，本文就是北京时代新威信息技术有限公司（以下简称时代新威）内部人员总结出的对于信息科技风险审计的方法及过程。信息科技风险审计范围：一）信息科技治理二）信息科技风险管理三）信息安全四）信息系统开发测试和维护五）信息科技运行六）业务连续性管理七）外包八）内部审计九）外部审计信息科技风险审计之——信息科技治理信息科技治理是指

2、对现代信息技术如通讯技术，信息处理技术、控制技术等的科学管理活动和过程。时代新威的审计专家指出，“它是以信息服务业务的开展与社会的实际需要作为依据，组织好各种信息技术的开发和应用，并对信息技术进行标准化、规范化管理。”信息科技治理战略必须要解决下述主要问题：（1）保证构造合理的信息系统结构并将其实现。（2）保证新系统开发方式可以满足企业长期维护的目标。（3）保证内部和外部采购的决策能得到认真的考虑。（4）决定信息技术运行是由一个部门管理还是分成一系列小单元管理，按照小单元进行管理虽然成本高，但是能为用户提供更好的服务。信息科技风险审计之——信息科技风险管理信息科技是指计算机、通信、微电子

3、和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。在风险管理方面，北京时代新威信息技术有限公司与许多商业银行都有合作成功的案例，其工作内容可总结为以下两点。信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。信息科技风险审

4、计之——信息安全信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不

5、中断，最终实现业务连续性。信息科技风险审计之——信息系统开发测试和维护信息系统是一个以人为主导，吸取经验和遵照规律并重，利用适合的信息技术以及相应设备，根据相应的业务模型和数学模型，进行信息的收集、传输、加工、储存、更新和维护，以提高组织的效益和效率为目的，支持组织的高层决策、中层控制、基层运作的集成化的人机系统。信息系统开发维护是为了使信息系统处开合用状态而采取的一系列措施，目的是纠正错误和改进功能，保证信息系统正常工作，有以下四种类型：改正性维护，适应性维护，完善性维护，预防性维护。信息科技风险审计之——信息科技运行良好的信息科技运行必须在设计阶段就开始考虑。用户、负责信息科技系统运

6、行的人应该参与信息系统开发的设计阶段，这样信息科技的运行问题在一开始就可以得到足够的重视。在工作中往往最容易忽略的就是硬件失败、程序非正常退出、文档说明和支持不足等问题。设计阶段要保证防止用户使用错误的快捷方式，还要考虑新、老系统转换的细节。如果是购买其他公司提供的软件包，问题就会更加复杂。时代新威的信息技术专家在工作中要求格外强调注意这一系列问题，也就避免了很多不必要的失误和麻烦。信息科技运行战略必须要解决下述主要问题：（1）保证构造合理的信息系统结构并将其实现。（2）保证新系统开发方式可以满足企业长期维护的目标。（3）保证内部和外部采购的决策能得到认真的考虑。（4）决定信息技术运行是

7、由一个部门管理还是分成一系列小单元管理，按照小单元进行管理虽然成本高，但是能为用户提供更好的服务。信息科技风险审计之——业务连续性管理业务连续性管理（BusinessContinuityManagement，简称BCM），是一项综合管理流程，它使企业认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划，其总体目标是为了提高企业的风险防范能力，以有效地响应非计划的业务破坏并降低不良影响。业务连续性管理系统（BCMS）是经常进行