信息系统架构控制与审计

《信息系统架构控制与审计》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第三章信息系统架构控制与审计要保证信息系统安全、可靠、有效的运营，离不开信息系统架构的有效控制及审计。信息系统架构包括：信息系统硬件、信息系统软件以及信息系统网络环境。第一节硬件与系统软件控制一、信息系统硬件控制信息系统硬件一般包括：服务器、工作站、移动计算设备、存储设备、网络设备等信息系统硬件的控制涉及：硬件获取、维护、系统监控、能力管理等（一）硬件获取管理者需要考虑的问题：何时购买？谁决定获取什么样的系统？系统如何安装、使用、维护？如何对员工培训？为了获取满足企业需要的硬件，应采取相应的控制措施。关键控制点：1、制定硬件获取

2、计划目的：适合组织计划；具有兼容性、扩展性和可靠性2、建立硬件需求标准3、确定购买时间和编制成本预算4、供应商选择一般方式：招标相关文档：招标书（或：请求建议书）第三章信息系统架构控制与审计招标书（请求建议书）应包含的主要内容：（1）组织环境（集中式，或分布式环境）。（2）处理需求。包括：组织的业务需求，计算机硬件负载与性能要求，计算机信息处理途径。（3）硬件需求。包括：CPU处理速度、外部设备、终端设备与数目、网络设备。（4）系统软件环境及其需求。包括：计算机操作系统、编译环境、数据库管理软件、通信软件以及访问控制软件等。（5

3、）支持需求。包括系统的维护、操作人员的培训以及备份。（6）适应需求。对采购硬件的兼容性以及对现有设备和装置地影响有明确定义。（7）实施需求。规定设备的测试、实施与系统转时间安排。（8）约束条件。硬件采购的容量，现有员工及其操作水平以及交付日期。第三章信息系统架构控制与审计5、对投标书或建议书从技术和商务层面的评估；考虑因素：技术、价格；成本/效益；供应商的财务状况、维护与支持能力；有关供应商设备的使用情况与评价。选择供应商。评价技术指标：（1）停转时间；（2）响应时间；（3）吞吐量；（4）负载；（5）兼容性；（6）容量；（7）利

4、用率。（二）硬件维护主要控制点：制定明确的维护计划；记录硬件维护的执行过程并形成文档；明确维护的硬件资源信息、维护日程表、维护成本；记录可提供特殊设备维护的服务商信息；明确维护纪录的保存和审计轨迹；明确管理层的维护监控。第三章信息系统架构控制与审计（三）硬件监控硬件监控目的：确保硬件的可用性与可靠性，保证组织利益。关键控制点：实时记录硬件有关运用情况；硬件问题的对应解决程序、补救措施；硬件监控形成文档。主要包括：1、硬件错误报告——标识出CPU、输入输出、电源和存储故障。2、可用性报告——指出系统工作正常的时间段。3、利用率报告

5、——记录了机器和外设的使用情况。第三章信息系统架构控制与审计（四）硬件容量管理管理目标：根据总体业务的增长或减少动态地增减资源，以确保可用资源的有效利用，预计硬件需求。关键控制点：明确的硬件容量管理计划；存在相应管理、执行措施；计划的及时更新；实施动态监控。计划的考虑因素：1、CPU使用率；2、计算机存储设备使用率；3、终端使用率；4、远程通信和网络带宽使用率；5、输入输出信道使用率；6、使用人数；7、新技术；8、新应用程序；9、服务水平协议。第三章信息系统架构控制与审计二、系统软件控制系统软件包括：操作系统、数据库管理系统、通

6、信软件、数据管理软件、作业调度软件、程序库管理系统、磁带/磁盘管理系统和系统工具软件。系统软件涉及：系统软件获取与实施、系统软件变更、系统软件版本与许可、系统软件设置（一）系统软件获取与实施关键控制点：系统软件的计划、可行性研究；系统软件对应用需求的支持；系统软件的易用性、兼容性、可移植性、安全性；系统软件的维护及版本管理；系统软件的成本控制；人员培训。第三章信息系统架构控制与审计（二）系统软件变更控制控制内容：变更授权；管理层和相关人员清楚并参与到系统软件的变更过程中；确保变更不会破坏现有处理流程；变更控制程序的影响评估；制定

7、有适当的备份/恢复程序使得一旦发生安装失败，能使其影响最小化；对系统投入实际运行前所有测试结果进行记录、审查并得到相关领域技术专家的认可。第三章信息系统架构控制与审计（三）系统软件版本与许可控制目的：防止盗版软件的缺陷；避免组织面临的诉讼风险；维护组织利益。关键控制点：制定防范非授权使用和拷贝软件的策略和程序文件；及时审查所有标准的、已用的和许可的应用及系统软件列表；建立软件安装的集中控制和自动分发（包括取消用户安装软件的能力）机制；建立PC机的无盘工作站，控制通过安全局域网来访问应用程序；安装计量(Metering)软件，并要

8、求所有的PC通过该计量软件来访问应用程序；定期扫描PC，确保PC中没有安装非授权的软件拷贝；购买许可。第三章信息系统架构控制与审计（四）系统软件设置控制目的：满足系统环境需求；防止隐藏的错误和数据毁坏；防止非授权的访问和不准确的日志。关键控制点：建立控制选项和/