某省“金保工程”信息系统审计案例信息系统案例介绍

《某省“金保工程”信息系统审计案例信息系统案例介绍》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、某省“金保工程”信息系统审计审计署哈尔滨特派办2011年12月信息系统案例介绍内容简介一、项目摘要二、信息系统基本情况七、初步审计成果八、项目的局限性四、信息系统审计总体目标三、信息系统控制情况五、信息系统审计内容和事项六、信息系统审计过程和测试方法聚焦“金保工程”金保工程1一个工程2两大系统3三级结构4四项功能“金保工程”是利用先进的信息技术，以中央、省、市三级网络为依托，涵盖县、乡等基层机构，支持劳动和社会保障业务经办、公共服务、基金监管和宏观决策等核心应用，覆盖全国的统一的劳动和社会保障电子政务工程。1.项目摘要项目信息名称：某省“金保

2、工程”信息系统审计；时间:2011年7-9月审计重点“金保工程”信息系统一般控制及社会保险子系统应用控制发现问题1.尚未建立健全信息系统制度建设，设备采购管理亟待规范，信息系统安全投入不足，系统运维外包存在潜在风险。2.数据备份、恢复及操作等方面管理机制不完善；机房缺少必要的安全设施，存在安全隐患。3.系统功能设置不完善，系统应用缺乏有效控制，数据的完整性、准确性和一致性等发面缺乏有效地校验机制控制。2.信息系统基本情况某省“金保工程”系统平台以省级大集中数据库和统一应用平台为基础。负责管理和维护的信息系统共有99个。2.信息系统基本情况省级

3、数据中心包括主中心和灾备中心，采用同城实时系统级备份和异地（某市）数据集异步备份方式备份数据，此外，省人社厅还以每日一次增量备份、每周一次全库备份的方式存储数据。“金保工程”系统现已建成2M以上光纤和ADSL实时连接的全省县级以上（含县级）人力资源和社会保障行政部门和经办机构的骨干网络，以及新农保试点县的全部乡镇和其他农村部分乡镇，全省大部分街道社区、医疗保险定点医院和药店，部分国有企业通过SSLVPN连接的分支网络。2.信息系统基本情况养老保险数据逻辑结构针对数据物理集中、业务处理实现高度信息化的特点，审计人员对某省“金保工程”信息系统的部

4、署及应用进行了调查，发现其在网络部署及安全保护措施、业务流程控制、数据控制等方面存在一定风险。3.信息系统控制情况审计子类审计情况初步调查结论风险水平网络部署及安全保护措施某省“金保工程”系统建立了专用网络，通过专线与数据中心以及各分支机构连接。绘制了网络拓扑结构图，安装了入侵检测、漏洞扫描工具、防火墙以及熊猫网络版杀毒软件。制定了权限管理、用户管理、安全管理等制度。中业务流程控制业务授权与审批较规范，数据处理逻辑基本合理，部分业务流程与有关规定不符。中数据控制主数据、业务参数和重要信息基本能够满足有效性、完整性和真实性的要求，部分数据校验机

5、制存在不足。中4.信息系统审计总计目标围绕“找出隐患、规范管理、促进完善”的总体思路，对某省“金保工程”系统的可靠性、有效性、效率性和安全性等进行检查，了解社会养老保险子系统的运行状况，发现该系统在使用和管理过程中存在的问题，确定该信息系统是否存在漏洞和缺陷，揭示使用系统办理基金业务时存在的控制风险，揭露基金筹集、管理、使用中存在的突出问题，从而对系统进行客观公正的评价，为促进被审计单位加强管理，完善风险监督机制，防范利用计算机系统进行欺诈与舞弊，保证基金的安全与完整，维护人民群众的切身利益，提出切实可行的审计建议。5.审计重点内容及审计事项

6、某省人力资源社会保障信息化工作开展较早，并率先在全国实现了全省养老保险数据大集中。根据某省“金保工程”系统的建设和使用情况，此次信息系统审计重点关注了“金保工程”系统的一般控制及其社会保险子系统的应用控制两部分内容，共完成了13个审计事项。序号审计内容审计事项审计事项类别1信息系统组织控制情况制度建设一般控制2设备采购管理一般控制3信息系统开发维护控制情况项目立项一般控制4系统运行维护管理一般控制5信息系统安全控制情况情况系统安全投入一般控制6系统安全定级一般控制7系统操作管理控制情况数据资源管理一般控制8机房物理环境控制情况机房物理环境管理

7、一般控制9信息系统效益情况系统应用效益一般控制10信息系统流程和功能控制情况系统流程控制应用控制11系统功能控制应用控制12数据输入控制情况主数据库数据输入控制应用控制13数据处理控制情况主数据库数据处理控制应用控制6.审计过程和测试方法（一）一般控制审计—IT管理政策审计1.具体审计目标：检查被审计单位IT管理政策情况，是否制订了完善可行的IT管理政策，政策执行是否顺利。2.审计测试过程（1）要求被审计单位提供机房管理制度、人员管理制度等IT相关管理政策。查阅被审计单位提供的“机房管理制度”、“人员管理制度”、“软硬件管理使用制度”、“网络

8、安全制度及保密制度”等，检查其管理政策是否完善合理、有效可行。（2）走访了信息中心和业务部门的部分员工，询问他们对于上述政策制度的了解程度，现场观察员工的操作是否符