网络环境下会计系统的安全性审计(2)
2017-08-04 05:44
导读：三、安全审计的主要测试 测试是安全审计实施阶段的主要任务，一般应包括对数据通讯、硬件系统、软件系统、数据资源以及安全产品的测试。 下面是对
三、安全审计的主要测试 测试是安全审计实施阶段的主要任务，一般应包括对数据通讯、硬件系统、软件系统、数据资源以及安全产品的测试。 下面是对网络环境信息系统的主要测试。 1 数据通讯的控制测试 数据通讯控制的总目标是数据通道的安全与完整。具体说，能发现和纠正设备的失灵，避免数据丢失或失真，能防止和发现来自Internet及内部的非法存取操纵。为了达到上述控制目标，审计职员应执行以下控制测试：（1）抽取一组会计数据进行传输，检查由于线路噪声所导致数据失真的可能性。（2）检查有关的数据通讯记录，证实所有的数据接收是有序及正确的。（3）通过假设系统外一个非授权的进进请求，测试通讯回叫技术的运行情况。（4）检查密钥治理和口令控制程序，确认口令文件是否加密、密钥存放地点是否安全。（5）发送一测试信息测试加密过程，检查信息通道上在各不同点上信息的。（6）检查防火墙是否控制有效。防火墙的作用是在Internet与内部网之间建立一道屏障，其有效性主要包括灵活性以及过滤、分离、报警等方面的能力。例如，防火墙应具有拒尽任何不正确的申请者的过滤能力，只有授权用户才能通过防火墙访问会计数据。 2 硬件系统的控制测试 硬件控制测试的总目标是评价硬件的各项控制的适当性与有效性。测试的重点包括：实体安全、火灾报警防护系统、使用记录、后备电源、操纵规程、灾难恢复计划等。审计职员应确定实物安全控制措施是否适当、在处理日常运作及部件失灵中操纵员是否作出了适当的记录与定期、硬件的灾难恢复计划是否适当、是否制定了相关的操纵规程、各硬件的资料回档是否完整。 3 软件系统的控制测试 软件系统包括系统软件和软件，其中最主要的是操纵系统、数据库系统和会计软件系统。总体控制目标应达到防止来自硬件失灵、机黑客、病毒感染、具有特权职员的各种破坏行为，保障系统正常运行。对软件系统的测试主要包括：（1）检查软件产品是否从正当途径购买，审计职员应对购买订单进行抽样审查。（2）检查防治病毒措施，是否安装有防治病毒软件、使用外来软盘之前是否检查病毒。（3）证实只有授权的软件才安装到系统里。 4 数据资源的控制测试 数据控制目标包括两方面：一是数据备份，为恢复被丢失、损坏或被干扰的数据，系统应有足够备份；二是个人应当经授权限制性地存取所需的数据，未经授权的个人不能存取数据库。审计测试应检查是否提供了双硬盘备份、动态备份、业务日志备份等功能，以及在日常工作中是否真正实施了这些功能。根据系统的授权表，检查存取控制的有效性。 5 系统安全产品的测试 随着网络系统安全的日益重要，各种用于保障网络安全的软、硬件产品应运而生，如VPN、防火墙、身份认证产品、CA产品等等。企业将在不断的安全产品市场上购买各种产品以保障系统的安全，安全审计机构应对这些产品是否有效地使用并发挥其应有的作用进行测试与作出评价。例如，检查安全产品是否经过认证机构或公安部部分的认征，产品的销售商是否具有销售许可证产品的安全保护功能是否发挥作用。
四、应该建立内部安全审计制度 为进步会计信息处理的正确性、真实性和正当性，强化企业的内部控制制度的落实，防止会计信息系统出现各种安全隐患，应建立起计算机网络环境下对会计信息系统实施监视的内部审计制度。内部审计是在单位最高负责人的直接领导下，对集网络、计算机及信息处理为一体的会计信息系统进行职能治理，依照有关、法规及内部治理制度，对其正当性、真实性、可靠性和效益性进行相对独立的监视、检查与评价的活动。其主要目的是保护企业计算机会计信息系统所产生的会计记录的真实与可靠，保证网络上数据的传输的数据的安全，并对系统安全情况作出评价。 网络系统内部安全审计是一种实时地发现漏洞的机制，安全审计职员的日常审计工作将为会计信息系统的安全提供有效的保障。
