计算机风险评估

关键词： 保障计算机 评估 风险 计算机

计算机风险评估（精选十篇）

计算机风险评估 篇1

一、计算机安全风险评估工作现状

(一) 风险评估的概念和目的

1. 风险评估的概念。

依据国家有关的规章制度及信息技术标准, 对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程。它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响, 并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。

2. 风险评估的目的。

认清信息安全环境和状况;达成共识, 明确责任;建立或完善安全保障措施;保持信息系统的建设与信息安全策略的一致性和持续性。

(二) 风险评估的对象和手段

1. 风险评估的对象。

包括安全手段和安全效果。其中安全手段包括技术体系、组织体系、管理体系等;安全效果包括物理安全、网络安全、系统安全、数据安全、内容安全等。

2. 风险评估的手段。

包括安全扫描、手工检查、渗透测试、安全审计、安全策略评估、问卷调查等。

(三) 风险评估的步骤

描述系统特征, 识别威胁 (威胁评估) , 识别脆弱性 (脆弱性评估) , 分析安全控制, 确定可能性, 分析影响, 确定风险, 对安全控制提出建议, 记录评估结果。

二、计算机安全风险评估工作存在的问题

(一) 风险评估工作流程与技术标准不规范

风险评估既是一个管理问题, 也是一个技术问题。人民银行计算机安全等级保护制度在执行中, 提出了“谁主管, 谁负责;谁运营, 谁负责”的原则。但是, 没有明确解决什么才是真正意义上的负责, 怎样才算负责。没有针对风险评估的任务、责任、过程、程序制定规范与完善的工作流程和技术标准。风险评估工作的效果往往受限于各部门和个人的认识, 有多大认识, 有多大能力, 风险评估就只能进行到多大程度, 就只能产生多大效果。

(二) 风险评估体系不具备通用性和可操作性

现有的纷繁复杂的风险评估体系要迅速向它的所有分支机构普及, 面临很大的工作难度:第一, 那么复杂的体系工程是基层技术人员能够掌握的吗?面对如此大规模的检测对象, 传统的工具加人工操作的检测方式已不能满足现实中高效检测的需要。另外, 这种依赖操作人员技术水平和问卷问询对象反馈结果的评估结论又能多大程度真实反映系统的实际安全状况呢?第二, 大量的县支行, 其现状是只有几个人, 只有一个懂电脑的。这样的现状, 能否承受得住这种需要大量技术力量参与的评估模式?第三, 现有的风险评估体系无法涵盖信息系统所有的环境和层面, 两个完全相同的信息系统可能仅仅因为环境和层面的细小差异, 而导致风险评估体系的模型和标准无法在两者上都适用。

(三) 风险评估的手段相对滞后且存在缺陷

在信息系统中, 主机是中枢, 数据是核心资产, 两者是信息威胁的主要侵害对象, 也是风险评估的主要研究对象。但现有的评估手段相对滞后且存在缺陷, 无法满足其安全需求。

安全扫描是利用扫描器通过远程发送数据包, 根据应答情况和内容来判定主机的安全隐患, 它是以主机的服务和端口为基础而进行工作的。但由于它没有主机权限, 能够获取的数据非常有限, 且检测不到主机的脆弱点。

问卷调查是把信息系统可能发生或已经发生过的事件通过人工应答的方式体现, 但是这种手段容易产生偏差, 在风险评估实践中, 有两种情况是无法避免的:一种是故意缩小风险, 另外一种就是故意夸大风险。另外, 问卷调查本身也存在问题, 比如有许多专业的概念, 其中很多是用户无法正确理解和把握的, 因而也可能无法准确地做出回答。

(四) 缺乏精通风险评估工作的专业人员

人民银行现在开展的风险评估工作, 基本上是依靠科技骨干边自我学习, 边培训其他人员, 边进行项目评估, 基层机构特别是广大县支行大多缺乏精通相应业务的专业人员。

(五) 风险评估的角色和责任不够清晰明确

风险评估工作是责任性极强的工作, 评估中应该有什么人参加, 他们应该扮演什么角色, 承担什么责任, 这些责任通过什么过程和手续体现, 这一系列的问题都还没有明确的答案。评估工作常出现评估方和被评估方都不满意的局面, 整改建议也常束之高阁。很多单位的风险评估工作没有与信息系统的生命周期和单位的安全建设紧密联系起来, 仅仅是为了评估而评估。由于在评估结束后没有针对评估的结果采取切实有效的改进措施, 安全状况并未取得实质性的增强和改善, 评估工作仅仅为了应付。

(六) 风险评估带来的新风险还没有有效控制

评估方对被评估方的评估必将接触到被评估方的重要信息系统, 这将使被评估方信息系统的信息、数据和漏洞等都暴露在评估方面前, 给信息系统带来信息泄密乃至入侵攻击等一系列潜在的新风险, 而这些风险还没有有效控制的措施。

三、建议

(一) 规范风险评估工作流程和技术标准

明确风险评估的任务、责任、过程、程序, 制定规范的标准, 并且统一要求, 落到实处。建立和完善部门的风险评估工作管理与协调机制, 促进相关资源的管理和共享。完善风险评估工作的各项制度, 实施风险评估工作的备案报告和定期检查制度。

(二) 建立通用和可操作的风险评估体系

根据各级行的实际情况和安全需求, 制定适用于不同分支机构和安全需求的风险评估体系, 使其有利于在人民银行系统包括基层机构中广泛推广和实施。

(三) 采用合理和完善的风险评估手段

现有的风险评估手段主要侧重于方法的合理性和完备性, 像安全审计, 它考量体系的实施情况, 比如它用“是否安装反病毒软件”来替代对机器上是否有病毒的真实检查。这些评估手段在一定程度上解决了物理安全和内容安全的问题, 但没有解决运行安全和数据安全。应该将风险评估手段从以往的侧重于对方法的评估兼顾到对当前信息系统真实状况的评估, 同时, 要加强对风险评估最新理论的了解、跟踪、学习和掌握, 并积极将其应用到工作实践中。

(四) 加强对风险评估专业人员的培训

利用“请进来”、“走出去”等多种培训渠道, 采用“个人自学”与“集中辅导”相结合的多种培训形式, 对广大科技人员包括基层分支机构的骨干人员经常性地开展风险评估知识与技能的培训, 提高大家的风险评估能力, 培养较高层次的风险评估专业队伍, 同时要注重风险评估实践经验的积累和推广。

(五) 细化和明确风险评估的角色与责任

明确所有者、管理者、运行者、建设者、使用者等各方的角色和职责, 明确这些责任在实施过程中的具体体现。同时, 要加强对风险评估全过程的跟踪管理, 特别是将风险评估工作与信息系统的生命周期和单位的安全建设紧密联系起来。对于风险评估中发现的问题, 应该及时采取有效措施进行整改, 确保安全状况得到实质性的增强和改善。

(六) 有效控制风险评估可能带来的新风险

计算机软件工程学科评估报告 篇2

计算机软件工程学科是一门以信息技术为主的学科，其主要内容是对计算机的软件有足够的了解和应用能力，可以在各种情况下驾驭使用计算机提高工作效率，以及为不同人群提供他们所需要各种服务的技术。随着计算机软件的发展，软件业从计算机工业中独立出来成为一枝新秀，成为带动经济社会发展的高新技术，越来越体现出在当前信息时代的重要地位。

我区计算机软件应用和引进是在1985年开始，当时主要以无硬盘的IBM XT/AT机为主，1990年开始陆续在我区银行、税务、工商、邮电、公安、规划院、设计院等主要部门开始应用，现在我区各行业及城镇大部分家庭都已购买微机并上网。我区自大规模计算机应用以来，发展速度较快。软件应用开始阶段以C、Basic、Fortran、Dbase、Autocad开发为主，后来发展到gps、gis、rs、.net、html、3dmax设计等应用，大规模提高生产效率、工作效率及资料的保存率。主要表现在税务、工商、银行、医保等部门全部实现电子自动化办公，设计、规划部门全部甩掉手工制图实现CAD（计算机辅助设计）和林业地理信息系统开发，教育实现校校通工程，引进远程教育以及排课、课件制作的电子化。建设了多个应用系统：地区医院的挂号收费系统，通信公司的通信、1 / 11

收费系统、劳动社会保障系统、金卡、金税、金盾、金保系统、视频会议系统、防火监测系统、资源监测系统、营造林系统、林产品交易系统、贮木场管理系统、政务网络系统等等，到2009年全区共建网站86个，服务器106个到网络资源总量12960兆；建成数据库179个，数据库总容量6万兆；对原资料、图纸、数据库、数字地图的合并、修改、更新就可以生成新的资料、新的图纸、新的数据库、新的地图，极大地提高工作效率；同时在地区规模企业和林业局木材、森林管护、视频会议、办公等实施信息化管理后，每年节约成本、提高效益近千万元。

一、学科（专业）梯队成员的培养和使用情况 学科（专业）梯队带头人张殿臣1968年出生，1992毕业于东北林业大学计算机应用专业，历任地区规划院助理工程师、工程师，计算机室副主任、地区科技与信息产业局信息科科长，2007年就读东北林业大学信息与计算机工程学院，系统学习了农业、林业信息化的专业知识，取得农业信息化硕士学位，在一定程度上提高了知识和业务水平，主要负责全区企业信息化工作。

学科（专业）梯队后备带头人刘铁斌1977年出生，1999年毕业于哈尔滨金融高等专科学校，金融专业，2000年就职于大兴安岭地区行署林业集团公司办公室，2002年任政务值班室副主任科员，2009年任政务值班室主任。负责全区政

/ 11

务信息化工作。

学科（专业）梯队成员王巍，女，1982年1月4日出生，本科学历，2000年毕业于黑龙江省农校计算机专业，2001年考入行林办网络中心，负责大兴安岭政府网站的运行和维护工作，曾在海康公司和书生公司学习。

我们不但注重自身的学习和提高，同时也注重学科（梯队）的培养和实践。主要做法有：一是以内部培养为主、外部培训为辅。就如何更好的培养人才并让他们充分发挥自己的特长，一直是我在梯队管理中积极研究的课题。为了合理地挖掘、开发、培养专业人才，我们建立和完善了人才培养机制。内部培养首先是进行人员规范教育，在网络中心锻炼1-3个月，让其在了解和实践计算机相关知识的同时，感受梯队文化氛围，认同梯队价值取向，再通过测评合格后选派到合适的岗位；外部培养是与与北京书生、哈尔滨海康等网络公司建立了人才培养的合作关系，每年定期选派优秀技术人员到这些公司进行学习深造。二是注重综合知识学习。结合全区软件工程的分类的实际情况，软件工程学科梯队成员认真自学专业书籍，提高地理信息系统、数据库、电子政务、网站建设、计算机网络和软硬件知识等专业技术水平，进行不同技术岗位间的交流学习。学科梯队实行了技术骨干进行轮流讲课（每月1次）的制度，通过参加高层次的培训和网络学习的方式提高专业技术人员的实际技术水平和解决实

/ 11

际问题的能力。截至目前学科梯队进行了3次大型培训，培训人员300余人，建立锻炼了梯队人才队伍。

二、学科（专业）梯队建设成果情况

学科（专业）梯队近几年在梯队建设和信息化建设方面取得了很多成果，主要有：

1、完成全区林业局森林资源二类调查、全区森林资源监测、第四、第五次更新普查以及天然林保护工程计划上报的数据统计工作，修改完善了二类调查和资源监测的统计、打印程序，进行全区引进数字林业基础性工作，制作基础林相图注记符号及标记数据的数据库修改工作，现在全区林相图制作一直在使用。撰写《我区国民经济和社会信息化情况的调查报告》、《大兴安岭地区信息网络和信息资源调查报告》、《大兴安岭地区数字林业可行性研究报告》、《大兴安岭地区信息产业中长期规划》、《塔河数字化林业示范局可性行研究报告》和《实施方案》、《大兴安岭地区“十一五”科技与信息发展规划纲要》、《大兴安岭林业信息化发展过程及现状》、《大兴安岭林业信息化建设情况》等专业分析报告及规划。

2、负责完成大兴安岭地区政务网络规划及建设全国森林防火网络规划及建设；大兴安岭会展中心和大兴安岭地区视频会议系统建设；全区办公自动化系统升级改造；大兴安岭地区政府网站升级改版；负责党政办公楼网络建设及升级

/ 11

改造；制定《大兴安岭地区林业信息化建设规划》。

3、进行了政务办公自动化系统的开发、实施、流程配臵、人员的权限设定、客户端机器的调试、人员的培训等基础工作，制定了《政务办公系统应用推进方案》、《大兴安岭地区政务系统电子公文传输管理暂行办法》，针对相关部门在使用政务办公自动化系统遇到的难题，对使用单位进行了3次大型培训，培训人员300余人，为客户端上门维护200余次，真正的实现了办公自动化和公文无纸化传输，减少了公文流转的时间，提高了公文的运行效率。

4、获地区科技进步二等奖两项、省科技进步三等奖一项。

三、产学研结合情况

学科梯队特别注重产学研结合，软件就是为实际生产办公和提高工作效率服务，通过指导各企业的信息化建设和改造，有力推动我区数字林业和企业信息化的发展。

1、在学科梯队的主持带领下，首先对政务网络核心路由器及办公楼核心交换机进行更换，并运用自身的专业知识独立完成核心交换机的配臵，并实现核心路由的冗余备份，确保全区政务外网的稳定运行；针对目前的设备老化问题，提出了政务网络升级改造方案；为了保证政府网站的安全、稳定运转，重新制定并完善了《大兴安岭政府网站管理规定》，服务器数据做到每两周进行一次备份。对大兴安岭政

/ 11

府网站现有的老化栏目进行了彻底清理，并提出了《大兴安岭政府网站升级改版方案》；根据实际使用中出现的问题，升级了OA办公系统软件，增加了督办流程、领导察看流程，进一步调试和修改书生系统，加快OA办公系统与书生公文传输系统的对接和整合的进程；对网络系统中容易出现问题的设备进行重点监护，每日对设备运行情况进行检查；完成了漠河、塔河和呼玛防汛网的接入；工商局县区分局和统计局VPN接入政务外网工作；针对我区视频会议系统设备购臵时间长，故障频发的实际情况，做到勤调试、勤检修，确保全区视频会议系统的正常运行和会议的质量。截止全年为各种会议进行服务工作共计209次，其中，召开国家林业局视频会议3次，网通电视电话会议44次，全区视频会议73次，收到了较好的效果。

2、指导全区9家规模企业信息化工作，先后争取省信息化资金400万元。主要有丽雪公司的DCS控制系统，马铃薯收购过程中的测重、去杂、淀粉含量的测定；恒友公司的CAD家具设计系统、数控机床；北奇神的办公及商务网络平台；筑安集团的建筑CAD及工程的概、预算系统。通过信息化建设，使生产成本不断下降，产生了较好的经济效益：丽雪公司使用原料收购信息系统后，与未使用这一信息系统时相比，可节约成本100多万元。恒友公司利用信息化后，企业减少原材料资金占用70万元，生产成本比应用信息化前

/ 11

降低8个百分点，管理人员由原来70人减少为40人，节省人力42%。北奇神保健品公司使用信息化管理系统后，生产周期由原来的24天减到18天，原材料库存由241万降低为80万，使赊欠款降低了33%—50%。北奇神系列产品单位成本由原来每盒1.30元下降为每盒1.27元，同比下降2%，累计增加效益38万元。

3、建设数字林业局管理系统。建立以局办公自动化、木材生产、防火、营造林、森调主伐、视频会议、财务等系列子系统为主的综合性林业服务平台。每年提高工作效率10%以上，节约各种办公经费达100多万元，堵塞木材生产、运输、销售漏洞，增加产值近千万元，同时可将空间数据和应用领域数据有机地结合在一起，它所提供的数据和信息将在企业宏观决策和科学管理、林业资源利用、生态环境规划及建设、灾害监测、资源变化等方面得到广泛的应用。

4、建设森林智能巡护系统。智能巡护系统通过森林防火巡护人员到指定巡护点用手持读卡机IC卡刷卡，记录下接收数据的时间、地点、巡护人员姓名。如果巡护员在巡护过程中发现火情，可以在读卡机中输入相对号码，并采取快速方式向指挥中心报告火情。如果巡护人员没有在指定时间、地点、卡号上打卡，通过计算机系统中的漏点查询可以一目了然地看到。该系统是2002年末在塔河林业局推行使用，2003年起发挥作用。2001年发生火警火灾7起，过火

/ 11

林地面积46公顷，发生扑火费39.86万元；2002年发生火警火灾57起，过火林地面积237公顷，发生扑火费用271.6万元；2003年发生火警1起，过火林地面积0.3公顷，发生扑火费用2.7万元。截止去年，塔河林业局一直没有大的火灾发生，这和该系统的运行有直接关系。

四、基础设施建设情况

学科（专业）以地区行署信息中心为依托，先后建立了县区级网络中心13个，中省直、地林直专业网络中心40余个，企业部门级网络中心18个。2001年至今，全区用于各类网络信息系统建设资金达5000余万元，先后两次对地县两级政务信息化骨干网和视频会议系统进行扩容升级改造，完成办公楼宇综合布线80余处；网络节点达1000余个；共建成地理信息、林业信息、政务信息和企业信息数据库179余个，数据库总容量6万兆；现已建成上联省及国家林业局，下联各县区局，横向联接中省直、地林直机关各部门的

坚持高标准建设的同时，实行了统一规划设计、统一技术标准、统一设备选型、统一公用网络平台、统一数据格式的“五统一‘基础上，相继开发应用了森林防火辅助决策系统、森林资源林政管理系统、数字营林综合管理系统、森林管护信息系统、大兴安岭地区视频会议系统、政府电子邮件系统、OA公文无纸化传输系统、财务管理电算化系统、大兴安岭政务信息发布系统。

/ 11

五、学科（专业）的发展前景

大兴安岭地处祖国北疆，与发达地区相比，我区的知识经济尚处于刚刚起步的阶段，经济发展还受到传统产业的束缚，而经济增长的模式仍以资源消耗为主。改变这种状态的有效途径之一就是迅速推进我区保护森林资源和原生态环境，利用信息技术大力开展数字林业建设和信息产业的发展。但是，我区软件产业目前还相对薄弱。呈现出规模小、创新能力弱、缺乏长远目标等特点。这就必然需要大量的高层次软件人才作为新鲜血液充实到这些企业中去。再者，随着电子政务、电子商务、制造业信息化的不断发展，各级政府部门和企事业机构也将需要大量的软件技术人才来推动信息化建设的进程。

我们本着以科学发展为导向，以实际应用为目标和落脚点，以培训和实践相结合的指导方针，以软件公司和职业学院为培训基地，注重梯队人才的选拔和培养，建立一直理念先进、技术过硬、能打敢拼的学科梯队队伍，准备在以下几个方面开展软件工程研究，为地区社会经济发展提供网络信息服务。

1、逐步进行数据库一致性更新

根据国家林业局统一的数字林业标准，对大兴安岭地区的属性数据库和空间地理数据库进行逐步更新，使其达到规范的数据标准，便于上与国家林业局下至各林业局的数据连

/ 11

接和更新，同时各部门行业之间的基础数据实现共享，为统一全区数字林业的发展打下基础。

2、逐步进行统计软件和制图软件的更新

随着数字林业标准的改变，数据统计软件和制图软件也应作相应的更新，这样才能使得表、图和数据库一致。比如现在我们主要的卫星图片数据来自spot星，该星数据以80坐标为基础，而现在我区主要的地形图的都已54坐标为基础，这就使地形图和卫星照片不符，必须做相应调整，才能进行深度开发和应用，而这项工作现在实现起来比较困难，必须对制图软件进行更新。

3、进行森林生态旅游地理信息系统开发

在稳步推进数字林业在森林防火、资源经营管理的基础上，开展以旅游为基础的地理信息系统的开发，结合我区资源管理地理信息系统，进一步增加景点分布图和景点的特色简介，植物、动物分布、习性及药用价值等信息，在三维系统中模拟我区森林资源的概况和对下游水量和气候的调节作用，一方面加强资源管理的深度、广度，一方面扩大我区生态作用和旅游的知名度，推进我区生态旅游的发展。

4、进行基于矿产资源管理的地理信息系统开发 大兴安岭近年来发现很多矿产资源，但基于矿产资源管理的地理信息系统还有待开发。所以从现在开始就应尽快开发基于矿产资源管理的地理信息系统，对矿产资源开发与生

/ 11

态环境破坏进行虚拟，在基本不破坏大兴安岭生态环境的前提下对矿产资源进行科学、合理、有效的开发。边开发边治理以最小的代价换取最大的利益，推动地方经济发展。

5、对森林资源经营管理的进行深层研究

在现有资源经营管理的前提下，开发深层次、多角度的资源环境数学模型的建立，模拟10年、20年甚至是50年以上森林群落的生态环境下，资源的有效保护和合理利用。实现森林生态环境和人类生产活动相互之间的协调、平衡和可持续发展，以及社会、经济高速发展，发挥森林巨大的生态效益、经济效益和社会效益。

6、积极引进和培养软件工程和信息化梯队人才 积极引进信息化高级人才，引领全区信息化向高、精、新的方向发展，同时在本区各中、高等院校要加大对计算机应用及相关专业等社会急需人才的培养，加大在职人员信息技术培训力度，制定优惠政策，采取多种方法，吸引更多的信息技术人才参与地区的信息化建设；要充分重视发挥现有人才作用，建立人才共享机制，最大程度地发挥他们的作用，提高全社会的信息化应用水平，造就一支过硬的信息化应用人才队伍。

计算机辅助审计风险及防范 篇3

[关键词]计算机辅助审计审计风险防范

随着信息技术和网络通信技术应用范围的不断扩展，计算机对审计的影响越来越大。然而，计算机在给审计带来方便、快捷、高效的同时，也带来了新的审计风险。只有做好审计风险的防范，才能使计算机辅助审计工作得以顺利地开展。

一、审计风险的主要研究模型分析

1、传统审计风险模型分析

长期以来，审计职业界一直使用的审计风险模型是：审计风险=固有风险(IR)×控制风险(CIZ)×检查风险(Dlk)，并要求根据该模型来计划和执行财务报表审计工作，以最终将审计风险降至可接受的低水平。该模型从理论上解决了注册会计师以制度为基础采用抽样审计的随意性，又解决了审计资源的分配问题，要求注册会计师将审计资源分配到最容易导致财务报表出现重大错报的领域。

从理论上看，该模型不存在明显的不妥，但在长期的实务操作中却面临很大的问题和困难：第一，直接设定固有风险为100％。第二，评估控制风险不认真，有走过场的嫌疑，实务中控制风险(CR)评估为最高时只要求记结论，不记理由，问题很大。第三，原先将“了解被审计单位情况”和“风险评估与内部控制”单独作为两个准则，使了解被审计单位情况没有跟风险评估有机结合，使了解没有明确的目的性，不被重视。第四，原风险模型侧重于指引认定层次的实质性审计测试工作，对财务报表层次重大错报风险的评估和应对重视不够，导致实质性测试没有目的性、方向感和针对性，进而必然会影响对认定层次重大错报的检查效果。第五，没有抓住财务报表审计工作的“关键点”。

2、现代风险导向审计下的新风险模型

由于传统审计风险模型在识别、评估和应对重大错报风险方面存在问题，国际准则以及我国审计相关准则都进行了修订。原审计准则规定：审计风险倡导以客户风险为导向，但实际未落实。新审计准则规定：以财务报表重大错报风险为导向的审计，强调重大错报风险评估和实质性程序并重。也就是说，新风险准则和风险模型以识别、评估和应对重大错报风险为导向、以控制总审计风险至可接受低水平为目标的最新风险导向审计理念。

现代风险导向审计下的新风险模型为：审计风险=重大错报风险(RMM)×检查风险(DR)。其审计风险包括两个层面，一是财务报表层次，二是交易、账户和列报与披露的认定层次。审计实务中，新审计风险模型下的风险评估包括三个阶段：了解客户及其环境包括内部控制，评估报表层的重大错报风险和认定层的重大错报风险；针对报表层重大错报风险，制定“总体应对措施”；针对认定层重大错报风险，展开“进一步审计程序”，具体包括：实施控制测试，再评估认定层的重大错报风险；实施实质性程序，其目的是为了降低认定层的检查风险。应该看到，新审计风险模型与原审计风险模型相比有显著的理论进步，对CPA的要求更高、更严、更细。

二、计算机辅助审计下的审计风险分析

所谓计算机辅助审计风险，就是指审计人员利用计算机辅助审计技术对运用了信息技术的被审计单位进行审计，当被审计单位的财务报表未能公允揭示被审计单位财务状况、经营成果和现金流量情况，审计人员发布的不恰当审计意见的可能性。本文按照现代风险导向下的新的审计风险模型，就从重大错报风险和检查风险两个方面来尝试进行分析。

1、计算机辅助审计中的重大错报风险分析

现代风险导向模式下的重大错报风险是指被审计单位财务报表审计前存在重大错报的可能性。这种可能性来自于两个层面：一是财务报表整体层次，二是交易、账户和列报与披露的认定层次。这样，我们可以认为计算机辅助审计下的重大错报风险受两方面因素的影响：一方面是信息系统对企业财务报表总体层次的影响，另一方面是信息系统对产生财务报表的认定层次的影响。

信息系统固然能提高企业财务处理的效率，但是它自身的一些特性却会产生新的经营风险或增加管理层舞弊的可能性。其主要原因是：第一，电子数据的“无形”特性使得记录在存储介质上的数据相对于纸质信息更加容易被滥用、篡改、丢失或破坏。这就使得企业的经营过程中风险增大，管理层通过信息系统舞弊的可行^生和可能新更大，使得总体层次的错报风险增加。第二，电子数据的存储集中程度高，数据处理速度快。因为数据高度集中的存储和快速的处理对错误或疏忽造成的损失产生了放大作用，一旦出现问题极易造成巨大的损失。这也会在一定程度上增加经营风险，从而增大了财务报表总体层次的错报风险。第三，信息化系统中软件及硬件自身的所存在的风险也会随着信息技术的运用而成经营风险的一部分，此外信息化的会计核算环境为凭借计算机手段的非法接入提供了可能。所以总体层次和认定层次的经营风险都会因此而有所增加。第四，信息化环境下的权限控制问题。在手工环境下，职责分离授权、批准是最常用的内部控制手段。虽然在信息化环境下仍然可以设置授权、批准功能，但是由于在信息化环境下的业务人员可以同过的盗用授权文件或口令，而是控制失效。增大了经营风险和管理层舞弊风险使得总体层次的重大错报风险增加。第五，信息完整性异常的情况导致的风险。信息完整性异常的表现常见的有以下两种：信息处理数据和业务传递资料的不一致，导致的管理层决策失误；信息修改功能引发的数据缺失。这些都会进一步加大认定层次的重大错报风险。

2、计算机辅助审计中的检查风险分析

通常的检查风险是指审计人员由于采取了不恰当的测试程序，未能发现已存在的重大(实质上)错误的风险。在计算机辅助审计的情况下检查风险的产生主要有以下原因：第一，由审计软件的应用产生的检查风险。信息技术的发展极大地加快了会计软件的更新换代，因而审计软件的更新速度与会计软件的适配程度，审计软件自身的完善程度和运行的稳定状况都会影响到审计计算分析正确性。第二，历史数据查找困难增加的检查风险。由于信息系统使用的软件升级，平台迁移，导致了账套不能够兼容使得查找历史数据的难度增加，从而检查风险增大。第三，审计线索减少导致检查困难，从而引发的检查风险上升。信息化的被审计单位中很多传统环境下的一些传递环节所涉及的审计线索大大减少，或者甚至在经济业务发生后自动消失导致取证的难度加大，并由此产生检查风险。第四，审计信息资源浪费严重，导致的检查风险增加。在现有的审计实务中许多审计信息资料与数据储存在各审计人员的独立的电脑中，审

计信息资料没有有效地与局域网络进行链接，审计信息与数据不能互通或者说交流效率低下，导致检查风险增加。

三、计算机辅助审计风险的防范

1、降低计算机辅助审计中重大错报风险的措施

首先，制定针对重大错报风险的总体层次的错报风险防范措施。要对计算机辅助审计下总体层次的错报风险进行控制就要求审计人员能够与管理层进行积极、有效地沟通，在审计工作开展之前就应该对被审计单位的信息化程度和信息系统深入了解。对被审计单位的信息系统要详细了解是指对其使用的财务软件要熟悉它的版本、业务处理流程等；针对信息系统则要在可能发生舞弊的环节注意管理人员尤其是信息系统的管理人员有没有对信息系统或财务系统施加不良影响，从而便于开展对重大错报风险的评估工作。如果被审计单位信息系统庞大，系统结构复杂，审计人员就应当考虑要先对被审计单位的信息系统做一个专门的IT审计，或者邀请计算机方面的人才以专家身份加入到审计团队中，以确保审计工作开展时计算机辅助审计对象系统的可靠性、稳定信和有效性。对管理层和整个信息系统我们需要关注和防范的就是系统的稳定性和可以信赖程度，以及对管理层在信息系统下舞弊风险的评估。此外，被审计单位信息系统自身的特性会对被审计单位的经营风险产生影响，所以当审计人员在考察被审计单位的信息系统时，同时也应当考虑使用该信息系统对企业的经营风险的影响。

其次，制定针对认定层次的错报风险防范措施。制定认定层次的错报风险防范措施可以从降低计算机辅助审计下的固有风险和控制风险两方面来着手。管理层对固有风险的认识和重视是降低固有风险的关键，因此为了降低被审计单位的固有风险，审计人员只有通过和被审计单位的管理层切实沟通，增强他们对计算机辅助审计下固有风险的认识。使管理层认识到在信息系统环境下固有风险仍然存在，信息系统的存在并不会使得固有风险消失，需要管理层给予足够重视。要降低计算机辅助审计下的控制风险，审计人员要对被审计单位内部控制情况有所了解。同时要注意结合计算机辅助审计情况中内部控制的新特征，例如经济活动的中间记录可能会在交易完成之后就消失掉，这种情况我们称之为缺乏交易轨迹。除此之外职责分工的特殊性，同类处理的一致性都要纳入考虑，并在此基础上设计一套有针对性的审计检查程序。在观察被审计单位的业务活动和内部控制的运行情况之外，选择若干具有代表性的交易和事项来进行测试，争取有效地降低认定层次错报的风险。

2、降低计算机辅助审计中检查风险的措施

计算机风险评估 篇4

1 计算机信息系统安全风险评估作用

1.1 信息安全风险评估是信息安全保障工作的基础

安全来自于风险, 因此信息安全保障工作的基础和出发点就是要确定安全风险的来源、种类、破坏程度、发生可能性、产生的后果等内容。信息安全风险评估是风险评估理论和方法在信息系统中的运用, 是科学分析理解信息和信息系统在机密性、完整性、可用性等方面所面临的风险, 并在风险的预防、风险的控制、风险的转移、风险的补偿、风险的分散等之间作出决策的过程。

1.2 信息安全风险评估是实现信息安全保障

工作的重要环节, 是建立信息安全管理体系工作的重要步骤, 是信息安全风险管理的重要工作阶段, 是信息安全保障工作的主要核查手段。

在网络与信息系统验收阶段, 通过信息安全风险评估可以验证己设计安装的安全设施能否实现安全目标, 为验收提供技术数据。在网络与信息系统运行维护阶段, 定期进行信息安全风险评估工作, 检查安全措施的有效性及对安全环境变化的适应性, 以保障安全目标的实现。当安全形势发生重大变化或网络与信息系统使命有重大变更时, 及时进行信息安全风险评估, 发现和了解新的风险, 并及时调整安全保障技术和管理措施。

2 计算机信息系统安全风险评估原则

信息系统是由信息技术系统以及包含了人、管理、环境的运行环境组成, 信息系统安全保障是对信息系统整个生命周期中抵御风险能力的综合考虑。因此, 信息系统安全工作需要建立基于能力逐步改进的长效机制。

对信息系统安全的风险评估, 首先需要根据信息系统运行环境及相关的信息系统安全保障需求进行描述, 信息系统安全保障评估准则提供了对安全保障需求描述的公共语音、结构和方法, 这就是信息系统安全保障要求工然后就可以依据信息安全保障要求工编制满足用户需求的信息系统安全保障方案, 即信息系统安全保障目标。系统评估者依据这些文件对信息系统安全保障方案工对信息系统安全保障要求工的符合情况进行评估, 并在整个信息系统生命周期中对信息系统安全保障方案的执行情况和执行能力进行评估。

为了提炼评估对象的安全需求, 需要建立安全环境, 综合考虑如下因素需要保护的信息资产, 系统所要完成的使命、组织管理、所处的物理环境, 其面临的威胁、信息对抗的假设, 然后在该特定的安全环境下确立系统的安全目标, 提出系统的安全需求包括安全技术需求、安全管理需求、安全过程需求和系统服务安全的需求、最终形成系统安全保护评估原则:

2.1 可控性原则

人员可控性;工具可控性;项目过程可控性。

2.2 完整性原则

严格按照委托单位的评估要求和指定的范围进行全面的评估服务。

2.3 最小影响原则

从项目管理层面和工具技术层面, 力求将风险评估对信息系统的正常运行的可能影响降低到最低限度。

2.4 保密原则

确保风险评估活动符合被评估对象或被评估委托单位的保密要求, 不会带来损失。

3 安全风险评估的方法

3.1 定性评估和定量评估

定性分析方法是最广泛使用的风险分析方法。该方法通常只关注威胁事件所带来的损失, 而忽略事件发生的概率。多数定性风险分析方法依据机构面临的威胁、脆弱点以及控制措施等元素来决定安全风险等级。在定性评估时并不使用具体的数据, 而是指定期望值, 如设定每种风险的影响值和概率值为“高”、“中”、“低”。有时单纯使用期望值, 并不能明显区别风险值之间的差别。可以考虑为定性数据指定数值。但是要注意的是, 这里考虑的只是风险的相对等级, 并不能说明该风险到底有多大。定量分析方法利用两个基本的元素威胁事件发生的概率和可能造成的损失。把这两个元素简单相乘的结果称为ALE或EAC。理论上可以依据计算风险等级, 并且做出相应的决策。一种定量风险评估方法。

3.2 基于知识的评估和基于模型的评估

基于知识的风险评估方法主要是依靠经验进行的, 经验从安全专家处获取并凭此来解决相似场景的风险评估问题。这种方法的优越性在于能够直接提供推荐的保护措施、结构框架和实施计划。基于“良好实践”的知识评估方法提出重用具有相似性机构主要从机构的大小、范围以及市场来判断机构是否相似的“良好实践”。基于知识的风险评估方法充分利用多年来开发的保护措施和安全实践, 依照机构的相似性程度进行快速的安全实施和包装, 以减少机构的安全风险。然而, 机构相似性的判定、被评估机构的安全需求分析以及关键资产的确定都是该方法的制约点。安全风险评估是一个非常复杂的任务, 这要求存在一个方法既能描述系统的细节又能描述系统的整体。基于模型的评估可以分析系统自身内部机制中存在的危险, 同时又可以发现系统与外界环境交互中的不正常并有害行为, 从而完成系统弱点和安全威胁的定性分析。

3.3 系统安全风险动态分析与评估方法

信息安全管理是指导和控制机构的关于信息安全风险的相互协调的活动, 关于信息安全风险的指导和控制活动通常包括制定信息安全方针、风险评估、控制目标与方式选择、风险控制、安全保证等。信息安全管理实际上是风险管理的过程, 管理的基础是风险的识别和评估。信息安全管理中认为风险的分析与评估是个动态的过程, 所以相应得分析与评估方法、评估工具都要体现动态性。PDCA是当前代表性的动态风险管理过程, 计划定义信息安全管理体系得范围, 鉴别和评估业务风险。实施实施同意的风险治理活动以及适当的控制。检查监控控制的绩效, 审查变化中环境的风险水平, 执行内部信息安全管理体系审计。改进在信息安全管理体系过程方面实行改进, 并对控制进行必要的改进, 以满足环境的变化。

3.4 差距分析法

差距分析法是我们通过不断的实践, 在实际检测中应用以上方法, 总结产生的方法。差距分析法借鉴了定性评估方法中对威胁、风险等安全要素进行量化的思想, 对各种要素进行了量化处理。又参考了定量评估方法中对于概率事件的分析, 引入概率。差距分析方法是在风险评估中通过识别、判断和分析目标系统的安全现状与安全要求之间的差距确定系统风险的分析方法。也就是说, 目标系统的可接受风险和系统残余风险间的差距就是系统存在的风险。获得系统安全目标和需求制定出基线 (可接受风险) .安全现状分析, 差距越大风险越大 (现有风险) 。在实际的差距分析法使用中, 我们根据计算机信息系统所属方的实际要求以及风险评估的工作强度, 提出了一种快速的使用方法。这种方式与正式的差距法风险分析不同, 他简化了对安全需求的分析。在整个风险分析的过程中, 安全需求分析是最重要的一个环节, 对安全需求的分析决定了安全措施的选择, 同样也就决定了对抗风险的能力。同样做这样的需求调研也要耗费大量的人力跟时间。在信息系统所属方不希望投入过多精力的情况下, 我们可以使用已经现有的具有典型要求的安全需要, 来套在需要进行风险评估的计算机信息系统上。虽然这样的安全需求不可能跟实际情况完全吻合, 但是它提供了一个最低限度的安全保障。

参考文献

[1]昊世忠.信息安全风险管理的动态与趋势[J].国家信息安全测评认证, 2000.

浅谈计算机审计面临的风险及对策 篇5

一、计算机审计面临的风险

（一）内部控制风险。计算机系统中的内部控制风险是指会计电算化系统的内部控制不严密造成的风险。在手工记账条件下，内部财务的控制机制完全是人与人之间的互相监督和控制。实现会计电算化后，这种监督和控制主要表现为人和机器的双重控制，而且以对机器的控制为主。机器控制较之制度控制存在以下几种问题：一是缺少交易轨迹，计算机的指令操作，比手工提供的可见证据少得多。数据可能直接进入计算机系统而没有相应的支持凭证。如某些联机系统中，单个的批准数据输入的书面证据可能被其他计算机程序取代；二是同类交易处理的一致性。计算机处理一律以相同的指令处理类似的经济业务，因此，虽然与手工处理的抄写错误可消除，但程序错误通常导致错误地处理所有的业务；三是缺乏职责分工。许多在手工系统中由多人分工执行的控制程序，在计算机信息系统中都被集中起来。存取计算机程序、数据和信息处理的一个人可能处于执行不可分的多种职责的位置；四是在特定方面发生错误和舞弊行为的可能性较大。由于计算机信息系统的固有限制，在系统开发、维护和执行过程中人为错误的可能性大。在缺少适当控制时，被审单位内部人员未经授权存取或不留证据地改动数据和程序的可能性将提高。此外，由于处理会计信息的人员减少，同时也降低了发现错误和误差的可能性。由于以上这些内部控制风险，造成会计信息系统存在隐患，也加大了计算机审计的难度，促使计算机审计应对被审计单位会计信息系统及计算机系统环境的安全加以检验，并采取措施防范内部控制风险。

（二）文件记录风险。这种风险是指电磁性财务数据有被篡改的可能。在电算化系统中可人为篡改数据而不留痕迹。一是计算机审计是随着会计电算化的发展而产生的，在以往的手工会计核算系统中，从原始凭证到记账凭证，从记账到报表编制，每一步都有文字记载和经办人员签名，审计线索比较清晰。而在会计电算化信息系统中，由于数据存储介质的磁性化和数据处理过程的自动化，业务数据进入计算机系统之后，由计算机按程序自动生成会计报表，即使有篡改也不会留有痕迹，比起手工系统来，电算化系统中的审计线索更隐蔽、更容易引发经济犯罪；二是在电算化系统中，会计账簿是由系统自动登记的，用户能修改的数据主要在凭证和报表中。所谓数据文件的修改，是指对未登账的凭证以及报表数据的修改，已登账的凭证是不能修改。目前电算化系统中使用的会计软件对操作人员的每次操作都有记录，但这样的记录显得过于宽泛，使得有价值的线索隐蔽其中难以发现。由于传统审计追踪审查已不适用，审计入手点更多的是靠审计人员的经验和判断。文件记录风险的产生，使得审计工作加大了工作量，增加了审计成本；也使审计风险增加。

（三）系统安全风险。对系统安全的审计是计算机会计信息系统审计的重要内容，也是审计的难点。主要包括对系统开发和应用程序的功能进行审计测试。对系统开发的审计是事前审计，审计人员要参与系统分析、调试、运行与维护等。而对系统应用程序进行审计，一是要对嵌入应用程序中的控制措施进行测试，看其是否按设计要求运行中；二是通过检查程序运算和逻辑的正确性已达到实质性测试的目的。在财务会计软件中，是通过对系统使用人员的密码和授权设置以及进入系统的身份验证功能实现的。对这些功能的审计，可通过简单的测试得出结论。由于要确定所审计的会计信息系统的安全性需要审计人员有丰富的计算机知识，因而对审计人员的计算机专业性要求很高，这也是审计人员面临的挑战。由此也产生了判断系统安全是否准确地审计风险。

二、对策

（一）针对内部控制风险，审计人员在评价会计电算化系统固有风险和控制风险时，须考虑以下事项：一是被审计单位使用的计算机信息系统是自行开发的而非外部购买，使用者是否有能力改变数据和开发报告；二是一般控制影响财务应用系统的可靠性，其影响程度取决于具体应用的范围和风险水平，计算机信息系统记录内容的性质和范围影响系统环境的复杂性和其面临的固有风险。针对被审计单位的会计信息系统特点和固有或控制风险，应询问被审计单位的主要管理人员，查阅相关文件记录，审察被审计单位的业务活动及其运行情况，考虑以前审计过程中所了解的相关情况及其变化，并进行符合性测试。通过加强对与计算机系统相关的内部控制的审计来降低计算机审计中面临的控制风险。

（二）针对文件记录风险，审计人员应当检查会计信息系统是否具有识别错误的功能，对

系统拒绝接受的错误数据，是否提供适当的控制措施，对系统拒绝接受的错误数据，是否提供适当的更正程序；复核输入、输出设计，查明是否留有审计线索并进行实质性测试。

此外，审计人员通过程序对实际会计业务的处理进行监控，判别程序处理和控制功能是否按设计要求运行。例如，审计人员可以通过输入错误数据查看更正过程以确定输入控制是

否可靠；也可以通过被审计单位正常业务处理以外的时间里亲自或监督进行，将一批处理过的业务再处理一次，比较两次处理的结果，以确定程序是否被非法篡改、处理和控制功能是否恰当有效。

会计档案计算机管理的风险与防范 篇6

关键词：会计档案；计算机管理；风险；防范

中图分类号：TP311

随着计算机技术在各个应用领域的广泛使用，当今会计工作的一个重要课题就是如何做好计算机会计档案工作，使计算机技术在会计工作中发挥重大的作用。

1 计算机技术运用在会计档案工作中的重要表现

会计档案是指会计凭证、会计账簿和会计报表等会计核算专用材料。计算机技术应用在会计档案工作中有以下特点：（1）计算机会计档案增加了会计档案存储的方向。很好的继承了会计档案的传统，存储在硬盘数据、磁媒介、光盘存储数据也包含其中。（2）用计算机技术处理会计档案工作需要特殊定制的计算机硬件与软件系统环境。（3）计算机技术中的存储技术是计算机技术在会计档案工作中的重要应用。（4）计算机技术处理会计档案的存储工作受到多种因素的制约和威胁，所以对于计算机会计档案的存储安全需要特殊加强保护。

2 算机会计档案的内容及保管期限

根据会计档案价值鉴定标准的规定，具有一定保存价值的会计凭证、会计账薄、会计报告及其他会计记录和文件，均应作为会计档案保存并统一管理。

（1）会计凭证类。包括原始凭证，记账凭证，汇总凭证，其他会计凭证，保管期限15年；（2）会计账薄类。包括总账，明细账，日记账，辅助账类，保管年限都是15年；现金日记账和银行存款日记账的保管年限是25年，固定资产卡片是在固定资产报废清理后保管5年；（3）财务报表类。月季度财务报告（包括文字分析），保管年限是3年，年度财务报告（决算）（包括财务分析）包括会计报表、附表、附注及文字说明，属于永久性保管；（4）其他类。银行存款余额调节表，银行对账单，保管年限是5年，会计移交清册的保管年限是15年；其他应当保存的会计档案保管清册、会计档案销毁清册永久性保存。

3 在会计档案工作中应用计算机技术存在的风险

3.1 数据存储设备损坏

数据的存储设备不慎损坏，使数据丢失或者损坏。比如：机械损伤；温度、湿度、清洁度对磁盘所存储的会计数据的影响等。

3.2 数据的软破坏

（1）通常，会计数据是运行会计软件得出的结果。在程序设计师设计会计软件的时候，程序设计师在程序构成和功能上考虑不够充分，就会导致会计数据信息偏差。当然，随着计算机软件技术的发展，这种情况会逐步减少；（2）操作失误和停电。突然停电对正在进行的计算机会计软件操作是一种非常头疼的事情，由于不能及时存盘而造成会计数据丢失不容易挽回，我们只能通过定时存盘来尽量缓解这样的数据破坏；操作失误会计数据丢失的一种常见错误。但是这种失误可以通过加强管理，严肃会计管理制度等措施来规范、解决；（3）计算机病毒程序。很多计算机病毒都是存在攻击性和破坏性的程序。它们能够修改、删除存储设备上的会计数据。

3.3 会计数据的恶意篡改

会计数据是一种机密数据、是神圣不可侵犯的。如果被不法之徒获取会带来巨大的经济损失，和不良的社会影响。会计数据可以通过主动泄露和被动泄露多种方法被截取。

有企图的不法分子主动窃取会计数据称为人为主动泄露：例如，通过非常规手段获取会计数据，贿赂财务人员等相关人员获取会计数据等。会计数据在传播或处理的过程中被非法截获称为技术被动泄露：例如，通过先进的计算机网络通信手段截获数据，存储设备处理不当等。下面总结会计数据被盗取的方法：（1）通过直接非法手段来访问会计数据。这种手段包括两种方法：即实体访问和远距离访问。实体访问指的是不法分子在会计系统存在的计算机上，通过了用户识别系统的确认，伪装成合法用户访问会计系统，窃取机密的会计数据。这种风险可以通过加强实体控制来解决。远距离访问指的是不法分子使用远程计算机遥控技术，从其他地方获得计算机会计数据的使用权，入侵会计系统软件。解决远距离控制访问要困难得多，因为侵入者的人群范围太广，无处可查，入侵的过程透明化，难觅踪迹。（2）间接手段取得会计数据。间接手段取得会计数据类似于特务人员、情报人员的行事方式，例如，他们会通过非法手段贿赂相关人员，获得计算机会计系统用户的使用权，从而获取会计数据；还有一些人会通过分析和询问来获取会计数据。（3）在数据通信中获取。在会计数据传送过程中，有很多途径可以被截获。可以通过对会计数据进行加密来解决这种数据被截获的情况。数据加密的方法千变万化，就算数据被截获，不法之徒也不能轻易了解会计数据的真正意义。（4）综合分析并推断。当不法之徒获得某些会计数据，如果感觉这个数据可能关系重大，会运用数学手段运算、统计，对得到的结果进一步分析推断来获得更重要的信息。例如，如果一个银行的存款总额数据不小心被窃取，那么就能以此判断出该银行的贷款能力，再通过其他手段来对这家银行造成危害。

4 计算机会计数据的保护措施

4.1 加密技术应用和推广

计算机数据加密技术可以使会计数据具有非常强的保密性。通过计算机数据加密技术给会计数据加密，可以使窃取者即使得到数据，也无法了解数据的真正含义，从而使非法获取的数据失去了真正价值，也不能轻易的对数据进行篡改和伪造。所以，计算机加密技术是防止计算机会计数据失窃的重要手段。

4.2 保护计算机硬件设备

加强计算机设备硬件的保护：计算机及相关硬件设备需要配备防火、防地震、防水、防雷击等必要的预防自然灾害对计算机造成损坏的保护系统以及报警装置。在计算机室的主入口安装电子保安密码门锁。增强计算机的防电磁辐射以及抗电子干扰的性能，在计算机室内配备防静电措施和空调系统，配备稳压电源和备用电源确保电压稳定，保证会计数据存储设备运送安全。

4.3 跟踪检测机制的建立

建立跟踪监测机制保护会计数据的存取操作，使用计算机技术在会计软件系统上建立详细记录和跟踪检测。例如，对登入、退出会计系统的时间、地点、用户；输入错误的口令次数；使用的输入输出设备；存入、增加、删除、更新的文件等都做详细的记录。而所有这些信息会反映到系统主制台上，使系统管理员能够及时发现问题，及时采取相应措施。

5 结束语

计算机技术的广泛应用使传统的会计实务操作方式和会计档案的管理等方面都产生了巨大的变化，产生的风险和对风险的防范对会计人员也提出了更高的要求。为此，我们应当不断从各方面为计算机技术的应用提供更为有效的依据，使计算机技术在会计领域内的作用得到更为充分的发挥。

参考文献：

[1]俞峰.浅谈电算化会计档案管理中的问题和对策措施[J].中小企业管理与科技，2010.

[2]井晓祎.论财务管理的信息化建设[J].科技创新导报，2011.

[3]李明英.浅谈会计档案的计算机管理[J].档案管理，2011.

[4]杨志.浅谈计算机会计数据风险与防范[J].商品与质量·理论研究，2010.

计算机风险评估 篇7

宁夏血液中心 (以下简称中心) 自2002年建成计算机网络以来, 在网络更新、升级改造以及维护等方面投入了大量的人力、物力, 并取得了显著的成效, 网络的规模和处理能力得到了一定程度的改善, 在采供血业务处理、献血者招募、提高临床输血安全等方面发挥了重要的作用。但由于受资金等方面的限制, 网络安全防护体系还比较薄弱, 网络系统硬件、数据安全等存在一些隐患, 计算机系统受病毒感染的情况也时有发生。因此, 网络安全问题变得日益突出。一旦发生安全故障, 将严重影响网络的正常运行, 系统中各种应用程序将不能发挥作用, 甚至造成整个网络瘫痪。2010年6月在中心网络的基础上搭建了宁夏全区血液样本集中化检测网络 (VPDN) 平台, 对全区各血站的血液样本进行统一检测和管理。因而, 对网络的安全和抗风险能力提出了更高的要求。为此, 亟需建设中心的网络安全防护体系是目前工作的重点内容。

2. 网络系统现状分析

从中心网络目前现状可以看出, 目前中心网络有两部分组成:中心采供血站内业务网 (局域网) 和中心办公上网 (Internet) 。其中, 站内业务网是中心业务开展的重要平台, 承载着核心业务内容, 主要包括站内血液信息管理系统和全区血液集中化检测实验室端及客户端软件以及网络的配置。办公上网主要提供访问Internet服务以及中心网站信息的发布。中心机房布置了两条光纤接入, 其中一条光纤接入用于站内办公上网、移动采血服务 (采血车和采血屋) 、短信服务、语音查询服务。由于在网络划分时, 必须保证中心业务网 (局域网) 内的计算机和办公上网的计算机不能兼用, 两者必须独立运行, 这样可避免病毒感染和黑客入侵。另一条光纤接入专门用于中心与全区各地市级血站采用VPDN技术组建的网络进行血液集中化检测样本数据信息的上传与下载。

VPDN网络采用专用的网络安全和通信协议, 可以在公网上建立相对安全的虚拟专网。宁夏各地市级血站可经过公网, 通过VPDN虚拟的安全通道和中心网络进行连接, 而公网上的其他用户则无法穿过虚拟通道访问中心网络的内部资源。

3. 威胁来源与分析

为了全面的将中心网络系统安全威胁进行分析和归类, 我们根据安全风险的来源, 参照业界通用的分析方法和国家《信息安全风险评估指南》, 将中心网络系统面临的安全风险分为:边界安全风险、内网安全风险、应用安全风险和管理安全风险四个层面。下面将针对每一层面分别具体分析。

3.1 网络边界风险分析

网络边界是提供站内业务服务的对外网络接口, 是安全防范的重点, 对边界访问控制是网络与应用安全防范和保护的主要策略, 它的主要任务是保证网络与应用资源不被非法使用和非正常访问。它也是维护网络与应用系统安全, 保护网络与应用资源的重要手段。对访问控制可以说是保证网络与应用安全最重要的核心策略之一。对外接口具体包括电子商务、企业互联网、VPN (VPDN) 、远程接入和广域网等。站内业务网络主要包括核心网络、分布层网络、接入层网络、服务器网络等几个部分。

中心网络的边界主要包括四类:第一类是中心局域网与其他地市级血站所建立的VPDN网络之间的边界;第二类是中心站内移动系统 (街头采血车通过3G无线上网卡) 和采血屋 (通过宽带上网) 建立VPN网络与中心站内服务器进行连接的边界;第三类是通过远程拨入中心维护计算机进行站内管理系统维护的边界;第四类是办公区与互联网之间的边界。

在第一类边界中, 由于采用VPDN技术建立了血液集中化检测网络, 血液样本信息的上传与检测结果的下载都是通过L2TP协议在两端建立安全隧道 (Tunnel) , 通过虚拟专用通道来传输信息的。但是虚拟私有访问这些边界如果没有严格的访问控制措施, 将会给中心网络信息系统带来安全风险。如:黑客攻击、病毒入侵、越权访问、线路故障等。

在第二类边界中, 由于采用VPN技术建立与站内服务器连接进行数据传送, 这类边界中也是通过VPN隧道技术, 和第一类边界是一样的。但也和第一类边界一样存在安全风险隐患。

在第三类边界中, 由于站内业务系统经常需要对系统软件进行维护、更新、升级或对中心站内服务器或对某台计算机进行配置等操作, 这样软件开发商就需要通过远程连接到站内网络进行远程维护。这样也会存在安全风险, 如:越权访问、操作不当、病毒侵入等。

在第四类边界中, 由于站内业务网络与办公上网是独立的, 互不干扰。因此, 对站内业务网络不构成安全风险。但对本机会存在风险, 如:黑客攻击、病毒侵入等。

3.2 内网安全风险分析

在中心局域网中通过路由器按业务类别划分网段和配置IP地址, 使各系统访问各自的业务内容。站内业务网 (局域网) 是网络中应用系统及承载应用系统的重要服务器 (数据库服务器) 和承载访问和数据交换网络设备和物理线路。因此, 在内网安全风险中, 首先是对这些信息资产正常安全工作形成威胁, 其威胁来源主要包括以下几个方面:⑴通过承接对外服务 (集中化检测样本信息的上传及样本检测结果的下载) 而来自于病毒和恶意用户的攻击;⑵不同部门间人员的非法访问;⑶内部人员的越权访问;⑷设备运行故障;⑸重要数据泄密等。其次是中心局域网系统中服务器与各业务科室终端计算机可能存在潜在的风险。主要包括以下几个方面:⑴主机系统漏洞及服务器配置不当;⑵网络中关键设备缺乏必要的防护措施及硬件冗余;⑶网络设备的配置参数及网段的划分;⑷网络入侵及病毒感染;⑸非法用户对网络的访问与利用;⑹数据不能实时备份;⑺不可抗力因素对网络的破坏;⑻桌面系统漏洞、内部用户误操作、合法用户的恶意行为等。

3.3 应用系统风险分析

应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用检测安全漏洞, 采取相应的安全措施, 降低应用的安全风险。对中心站内网络应用系统的风险主要有:应用系统的安全风险、病毒侵害的安全风险、数据信息的安全风险等。

应用系统的安全风险:主要是指中心业务网络 (局域网) 中各应用系统所面临的安全风险, 包括站内业务应用系统 (含数据库) 、短信发送系统、语音查询系统、卡巴斯基防病毒服务器系统。这些系统和服务主要依赖软件开发商应用程序的健壮性、逻辑规则的合理性、数据的一致性、结构的安全性以及商用数据库、中间件的使用等, 由于自身的安全漏洞和配置不当而造成的安全脆弱性将会导致整个系统的安全性下降。

病毒侵害的安全风险:主要是指由于没有对网络采取防病毒措施以及对计算机存储设备没有进行严格的管理而造成网络感染病毒等。

数据信息的安全风险:主要是指用户越权访问、操作不当、服务器宕机、磁盘阵列损坏、备份数据损坏或丢失等。

3.4 管理安全风险分析

管理方面的安全风险主要是操作人员的登录账户权限设置以及账户口令设置简单等问题;其次是把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险;还有就是内部不满的员工, 有的可能造成极大的安全风险。

由于中心站内业务全部用计算机进行流程化管理, 网络覆盖面比较广, 登录到系统的用户较多, 所操作的模块各不相同, 水平也参差不齐, 对设备的安全使用与措施的管理也存在着一定的风险。例如, 由于没有正确地配置安全设备参数, 导致安全区域内的防护手段失效。同时, 对于安全区域内突发的安全事件, 现有的安全管理手段很难迅速准确的对这种风险进行快速响应, 也无法快速定位威胁的来源在哪里, 因此也无法及时调整安全策略来应对这样的安全事件。

4. 建立有效的防范及应对措施

通过以上对安全风险的分析, 中心网络信息系统在边界、内网、应用、管理四大方面均存在程度不同的安全方面的隐患, 因此当前迫切需要通过必要的设备更新和技术手段及管理手段来加强信息系统的安全建设, 构建网络安全体系。具体措施如下:

(1) 网络边界区域风险防范及应对措施

网络边界区域是病毒入侵的关键区域, 在该区域对病毒源进行控制, 是遏制病毒感染、黑客侵入最有效的方法。在上述网络边界风险分析中, 第三、四类边界中就存在一定的安全风险。

具体的防范措施是:在访问边界部署防火墙和入侵防范系统 (IPS) 的联动技术, 其作用是防火墙完成访问控制防御功能, IPS完成入侵检测防御功能, 并通知防火墙对恶意通信进行阻断。防火墙对网络数据流的合法性进行分析, 但是它对从正常电脑上发送来的病毒数据流是无能为力的, 无法对病毒进行控制和过滤, 所以有必要在防火墙前端再部署防毒墙, 防毒墙是硬件级的网络杀毒设备, 作用是检测和过滤进入到内网的所有数据, 对恶意病毒进行查杀和阻断后, 再经过防火墙进入到内部网络。

(2) 内网安全区域防范及应对措施

内网安全区域是由内部计算机、服务器和各类网络设备所组成, 是病毒的寄宿区, 该区域内某一台计算机感染病毒后, 会传染到其他计算机上, 传染的结果是发送大量的广播包, 导致网络带宽严重不足, 网络速度和性能严重下降, 如果是多台计算机同时发作, 网络技术人员很难定位病毒源在哪里。

具体的防范措施是:⑴在网络设备上部署入侵检测系统, 实时分析进出网络的数据流, 对网络违规事件进行跟踪、实时报警、阻断连接并做日志, 用来对付来自内、外部网络病毒的攻击;对于入侵检测系统发现不了的问题, 可以通过snifter软件监控辅助控制, 这就需要在三层交换机上配置镜像端口, 所有流入和流出的数据都会镜像到该端口, 利用sniffer实时监控数据流量, 一旦发现有大量的非法数据, 就及时采取阻断措施, 保证内网安全, 同时也能快速定位出病毒源在哪里, 及时排查出问题的原因。⑵重新布置站内网络结构, 目前中心内网没有设置三层核心交换机, 也没有按业务部门进行网段划分和设置楼层交换机, 而是将所有的网线全部插在集线器上, 如果某一个集线器发生故障, 就会影响到所有部门的计算机。针对网络边界区域和内网安全区域的防范措施, 需要对现有网络结构进行重新布置。具体结构如图1所示:

网络结构布局的合理与否也将影响着网络的安全性, 对站内业务网、办公网以及与外单位互联的接口网络之间必须按各自的应用范围和安全保密程度进行合理分布, 以免对局部安全性较低的网络系统造成威胁并传播到整个网络。所以必须从两个方面入手, 一是加强访问控制:从上图可以看到, 通过在中心三层核心交换机上划分后, 就可以将整个网络分为几个不同的广播域 (VLAN) , 实现将内部一个网段与另一个网段的物理隔离, 阻止广播风暴以及防止因一个网段出现问题而影响到整个网络。通过将信任网段与不信任网段分别划分在不同的段内, 就可以限制局部网络安全问题对全局网络造成的影响。通过配备防火墙来实现内、外网之间的隔离与访问控制;二是作好安全检测工作, 在网络上安装网管软件, 就可以实时分析进出网络的数据流, 对网络违规事件跟踪和实时报警, 阻断连接并做日志。目前, 在内网上安装了网络版的杀毒软件, 并且配置了各种安全策略, 保证网络内所有计算机及时更新病毒库, 定时查杀病毒, 防止病毒入侵主机并扩散到全网, 实现全网的病毒安全防护。同时还对所有内网上的计算机安装了禁用USB存储设备的软件, 确保禁用外来U盘;三是做好数据备份工作, 目前在服务器上每天设置2个备份时间点, 然后通过手工将备份的数据拷贝到可移动硬盘上。由于没有建立异地灾难备份与恢复系统, 因此一旦出现服务器或磁盘损坏, 数据将出现丢失, 因为不能进行实时的数据备份。因此最好的措施是在异地建立灾难备份恢复系统, 这样既可以对数据进行实时、无缝连接的备份, 又可以在服务器或磁盘柜发生故障时, 利用灾难恢复系统进行快速恢复数据;四是对数据进行加密传输, 保护数据在传输过程中不被泄露, 保证数据的机密性。数据加密的方法有从链路层加密、网络层加密以及应用层加密。目前中心血液样本集中化检测网络采用VPDN技术进行网络传输, 移动采血系统采用VPN技术进行传输, 为了保证数据的完整性, 就必须采用信息鉴别技术, VPN、VPDN技术便能实现这样的功能;数据源身份认证也是信息鉴别的一种手段, 它可以确认信息来源的可靠性, 结合传输加密技术, 便可以实现保护数据的机密性、完整性、真实性、可靠性。

(3) 管理安全防范及应对措施

安全防范体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高, 行为的约束只能通过严格的管理体制, 并利用法律的手段来实现。因此必须根据自身的应用与安全需求, 制定安全管理制度并严格执行, 通过安全知识及法律常识的培训, 加强职工自身安全意识以及防范外部入侵的安全意识。计算机网络的安全管理, 不仅要看所采用的安全技术和防范措施, 而且还要看它所采取的管理措施和执行计算机安全保护法律法规的力度。只有将两者紧密结合, 才能使计算机网络安全确实有效。因此采取的措施是:⑴建立相应的计算机网络安全管理机构, 不断完善和加强计算机安全管理功能。计算机网络的安全管理包括对计算机用户的安全教育、法规和道德观念, 提高计算机用户的安全意识, 对防止计算机犯罪、抵制黑客攻击和防止计算机病毒干扰, 是十分重要的措施。因此就要对计算机用户不断进行法制教育, 包括计算机安全法、计算机犯罪法、保密法、数据保护法等, 明确计算机用户和系统管理人员应履行的权利和义务, 自觉遵守合法信息系统原则、合法用户原则。中心已制定了有关这些方面的措施, 包括定期在中心举办计算机安全管理方面的全员知识讲座并进行考试, 同时每年中心都安排计算机管理人员外出参加专业组织机构举办的计算机安全方面的培训课程, 另外还邀请计算机公司的技术人员到中心就计算机安全和站内业务流程方面的问题进行专题讲座和培训。⑵建立健全计算机网络安全管理制度, 目前中心业务系统安全保护等级被确定为第三级, 已经建立了《计算机安全管理制度》、《计算机业务流程管理制度》、《计算机信息系统数据备份和恢复程序》、《计算机信息系统应急预案及恢复程序》、《全区血液集中化检测网络线路应急预案》等体系文件, 同时还包括计算机人员操作管理制度、运维管理制度、计算机信息处理管理制度、机房保卫管理制度以及各种资料管理制度等, 中心各业务科室还对其科室计算机的使用制定了SOP文件。

5. 建立有效的网络安全评估体系

通过对中心网络的风险进行评估分析并制定应对措施后, 今后应该建立一整套的网络安全评估体系, 也即在外部专家或评估公司的帮助下, 建立中心安全风险评估体系, 并定期对网络系统进行安全评估。评估内容包括:⑴对中心信息资产进行分类。包括无形的、有形的、硬件、软件、文档、代码、服务等信息资产类别;⑵建立信息资产数据库。主要内容包括资产属性 (如保密性、完整性、可用性) 、设备描述、设备配置、安全弱点、威胁、风险、安全故障及历史记录。⑶定期对信息资产进行评估。包括建立风险评估模型和规范;识别资产面临的威胁;识别威胁可能利用的脆弱性;识别与分析控制措施, 做好评估记录, 对不符合安全级别要求的系统, 制定解决措施 (或方案) , 以增强安全。

作为日常工作, 可以在网络上安装网络安全性扫描分析系统 (Internet Scanner) 定期进行扫描, 经过扫描得到分析汇总报告, 通过汇总报告, 分析网络系统存在的弱点和漏洞, 提出补救措施和建立安全策略。同时根据扫描结果配置或修改网络系统, 达到增强网络安全性的目的并逐渐建立起有效的网络安全评估体系, 提高整个网络的安全级别。

6. 结论

计算机网络安全是一项复杂的系统工程, 涉及技术、设备、管理和制度等多方面的因素, 安全解决方案的制定需要从整体上进行把握。网络安全解决方案是综合各种计算机网络信息系统安全技术, 将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术等综合起来, 根据单位资金情况, 按照轻重缓急, 分步实施的原则, 逐步建设一套完整的、协调一致的具有抗风险能力的网络安全防护体系。同时我们必须做到管理和技术并重, 安全技术必须结合安全措施, 并加强对计算机用户管理的力度, 建立备份和恢复机制, 同时制定相应的安全标准, 提高网络整体安全运行能力, 真正实现网络化推动信息化, 以信息化带动单位各项事业的发展。

参考文献

[1]陈庄, 巫茜.计算机网络安全工程师宝典.-重庆:重庆出版社, 2010.10

企业应用云计算技术的风险评估 篇8

美国国家标准技术研究所 (National Institute Science and Technology, NIST) 的Peter Mell和Tim Grance提出了关于云计算的一套定义, 他们把云计算描述为一种模型, 用户可以按照需求从可配置的计算资源池中随需应变获取资源, 资源可以被快速供应和释放, 在这种模式下, 管理资源的工作量会减小到最低限度, 提升了资源的可用性。

云计算包含5个基本特点, 3种服务模式, 以及4种部署模式。5个基本特点如下:

(1) 按需自助服务。消费者可以按照自己的业务需求, 从资源池中自动获取资源, 免去了与供应商交互的复杂过程。

(2) 无处不在的网络访问。可以通过统一的标准机制从多样化的胖客户端或者瘦客户端接入互联网访问云服务。

(3) 资源池。云提供商将各种计算资源汇集起来, 形成资源池。采用多租户的方式将资源与用户共享, 根据用户不同的需求对各种物理和虚拟资源进行动态分配, 用户通常不知道资源确切的位置。

(4) 快速弹性。可以灵活快速地提供各项功能, 在用户使用完资源后还可以迅速释放资源来实现回收。消费者可以在任何时间根据需要任意购买资源。

(5) 计量付费服务。可以监控用户对资源的使用情况, 根据不同的服务类型, 按照不同的度量标准自动进行收费计量 (如存储服务、计算服务等) 。

3 种云服务模式定义如下:

(1) 云软件即服务 (Saa S) 。Saa S最常见的形式就是交付应用程序给最终用户。用户仅具有使用应用程序的权限, 应用程序背后的细节都被隐藏起来。常见的Saa S有Google公司的GMAIL或者Salesforce.com公司提供的客户关系管理服务。

(2) 云平台即服务 (Paa S) 。云服务商为最终用户提供可以编程的容器, 用户可以在该容器上托管他们开发的应用程序或服务。Paa S提供的是完整的应用程序环境。常见的Paa S有GoogleApp Engine。

(3) 云基础设施即服务 (Iaa S) 。Iaa S一般交付给用户的是各种虚拟化资源。如存储资源、客户虚拟机等。用户可以在上面部署和运行任意软件。常见的Iaa S服务有Amazon公司的Web服务或者Rack Space公司的云服务等。

4种云部署模式定义如下:

(1) 公有云。云基础设施由销售云服务的机构所有, 对公众和大型的行业组织公开使用权, 通常位于最终用户的外部, 普遍形式是通过Internet进行访问。

(2) 私有云。云基础设施是为机构单独构建的, 位于机构的内部。可以由机构进行管理, 也可以交由第三方管理, 存在本地运行和远程运行两种模式。

(3) 社区云。云基础设施由具有相同利益的机构共同构建, 存在本地运行和远程运行两种模式。

(4) 混合云。云基础设施是由以上两种或两种以上的云共同组成, 不同云之间相互独立, 采用标准接口联系在一起, 从而实现数据的互通和应用程序的移植。

2基于云计算的风险评估模型

云计算的发展历史虽然短暂, 但云所包含的4种部署模式和3种服务模式使得云计算的产品范围相当广泛, 不同云模式下, 企业面临的风险有所不同。

在云服务模式方面, Saa S模式下, 云运营商拥有更多的资源控制权, 这是因为Saa S对用户来讲, 是高度抽象的, 用户仅仅享用基于软件的服务, 而控制基本由运营商进行。与Saa S模式相比, Paa S模式为云用户或租户提供了较高级别的资源控制权。Iaa S模式相对于Paa S或Saa S模式, 可以提供给客户更多的控制。资源控制权的转移使得风险评估变得更加复杂, 资产安全性与资产所在的云的安全性息息相关。

在云部署模式方面, 私有云位于企业内部, 并且通常是企业专用的, 不会与外部数据混杂, 传统的风险评估方法可以在私有云模式下得到较好的应用。与私有云不同的是, 公共云、社区云、混合云的一部分位于企业外部, 如果云服务提供商的产品环境遭受灾难, 对可用性有较高需求的业务会因为云服务的中断而使企业遭受巨大损失。此外, 云服务提供商在存储或传输客户数据的过程中, 可能将数据置于不受法律管辖的区域, 造成数据信息的泄露, 使企业遭受巨大损失, 从评估的角度来看, 风险评估不再仅仅局限于企业内部。

在云服务商的选择方面, 云服务商的业务能力以及云服务的透明性对风险评估有很大的影响, 即便是在同一种云模式下, 企业面临的风险也会因为云服务商的不同而有很大差异。因此, 在云计算风险评估的过程中, 还需要对云服务提供商进行充分的调查分析, 综合考虑云计算中企业可能面临的安全风险。

计算机审计风险成因及其防范对策 篇9

一、计算机审计风险形成的原因

(一) 传统审计线索缺乏

在传统手工账务处理系统中, 由原始凭证到记账凭证, 由登账到财务报表的编制, 每一步都有文字记录, 都有经手人签字, 审计线索十分清楚。审计人员进行审计, 可以根据需要进行顺查、逆查或抽查。但在电算化会计信息系统中, 从原始数据进入计算机, 到财务报表的输出, 其中间的数据处理的全过程全部由计算机按程序指令自动完成, 传统账簿的缺失, 即传统的审计线索中断了。虽然管理部门从管理的角度出发, 保留一部分审计线索, 但这些有限的审计线索, 无论在形式上还是在内容上都与手工系统情况下有很大不同, 审计线索保存在磁性介质上, 这些磁性介质上的信息是以机器可读的形式存在的, 不能识别, 且存储在磁盘上的数据很容易被修改、删除、隐匿、转移, 又无明显的痕迹, 因此, 审计人员发现错误的可能性减少, 难度增大, 审计风险增加。

(二) 会计系统内部控制技术和方法的改变

测试被审单位的内部控制制度的健全性和有效性是现代审计的一大特征, 内部控制制度的恰当与否直接影响会计信息的真实性和准确性。在手工会计系统中, 内部控制的实施主要体现在两个方面:一是按经济业务的性质对工作人员进行适当的职责分离, 各职责岗位之间互相牵制, 不易出现错误和舞弊;二是在会计账务处理程序上, 除要保证会计凭证、账薄、报表按一定程序由不同人员记录、编制外, 还要做到账账核对、账实核对、账证核对、账表核对, 从而在很大程度上保证了经济业务处理的合理性和合法性。但在电算化会计信息系统中, 由于处理工具、信息载体、会计组织都发生了根本的变化, 使得手工会计系统中原有的很多控制措施都已失去意义。电算化会计和手工会计相比, 内部控制环境更复杂, 甚至有些环境因素超过制度的有效控制能力;建立严格的内部控制的成本要高得多;对内部控制的评价更为困难。内部控制的更大局限性使计算机舞弊有机可乘, 增加了计算机审计风险。

(三) 电算化条件下审计内容和范围的变化

在会计电算化条件下, 审计的监督职能虽然没有改变, 但审计内容却发生了变化。除了手工审计的内容外, 还包括对会计软件运行的评估和审核及对程序中安全控制措施的审查, 如人员权限的设置、系统应用程序的处理功能是否符合会计制度和财经法纪的规定、能否正确完成各项业务的处理、程序控制是否恰当有效等。另外, 除对电算化会计信息系统进行事后审计、监督其合法性和正确性外, 还提倡在系统的设计开发阶段, 审计人员要对系统的开发进行事前和事中审计。审计内容和范围的扩大对审计人员提出了更高的要求, 从而加大了计算机审计的风险。

(四) 审计技术、方法的日趋复杂

不同单位的业务规模和性质不同, 会计软件的获得途径不同、功能不同、程序处理的步骤和内容不同、数据存储的方式不同, 所有这些不同, 都决定了计算机审计风险的产生是多方面的, 因此, 审计技术的复杂性就必然会产生计算机审计风险。

(五) 会计软件评审机制存在的缺陷

我国会计软件从无到有、从单一业务处理到集成业务处理、从会计核算走向会计管理, 取得了巨大成就但也有其不足, 特别是针对审计, 表现在下面两个方面:一是很多会计软件不具备双向查询功能。在对电算化会计信息系统的审计中, 会计软件应允许审计人员按照凭证一明细账 (日记账) 一总账一报表的顺序进行双向查询, 同时还应允许分别对日记账、明细账、总账的期初余额、本期发生额和期末余额进行双向查询。但是目前我国绝大多数的会计软件的查询设计都是单向的, 可以实现如由总账查询明细账, 由明细账查询凭证等过程, 但当需要反问查询时往往很困难。二是会计软件不预留审计测试通道。在审计过程中, 审计人员为证实业务处理的实际过程、方法, 往往需要进行测试, 既虚拟一笔业务输入会计软件, 检查其结果与预期结果是否相符, 这种方法可以有效地验证核算过程是否与设计一致。但是如果审计人员不能及时消除这些测试的影响, 就可能导致会计软件系统数据的混乱。恰当的解决方法是在软件设计时为以后的审计测试留下通道, 既方便审计人员的随时测试, 也不会造成对整个系统数据的影响。因此, 会计软件评审机制的缺陷加大了计算机审计风险。

二、计算机审计风险防范对策

(一) 传统方法与现代手段相结合, 保证审计数据的完整性、正确性, 降低审计风险

在审计的实施中, 可以要求被审计单位将审计时间范围内的账务资料打印出来, 同时, 随意抽取一台操作终端, 进入账务系统, 和打印出来的账务资料进行核对, 通过账账核对、账证核对, 确定其提供账务资料的真实性、完整性。这样既可以把传统的审计线索与现代手段相结合, 保证审计数据的完整性和正确性, 又可以从源头上降低审计风险发生的可能性。

(二) 测评内部控制制度的健全性, 找到审计突破口

召开被审计单位的人员交流座谈会, 收集被审计单位的有关资料, 加强对内部控制制度的审计。审计人员要对系统中业务事项的流向、电子数据处理用于特定的业务处理范围以及业务控制的基本结构进行审查, 同时必须识别特定的业务与内部控制的关系, 了解内部控制在多大程度上确保系统中业务记录的正确性和可靠性。通过测评被审计单位的电算化操作是否合规, 岗位职责设置是否欠缺, 内部牵制措施是否得当, 找出管理中存在的薄弱环节, 确定审计突破口, 抓住审计的重点。这样不仅对审计的实施能起到事半功倍的效果, 还有利于降低因审计疏漏而产生的重大风险。

(三) 选择恰当的审计方法技术与合理的审计方式

审计人员可以根据被审计单位不同的会计信息系统而采取不同的审计方法和技术, 从而有效地降低审计风险。当打印的账务资料充分且与被审计单位输入输出联系比较密切能核对相符时, 则可采用绕过计算机的审计方法, 用核对、复核、分析等审计技术;当被审计单位采用实时处理, 纸质的审计线索较少且输入输出不能直接核对时, 则可采用计算机审计的方法;当被审计单位采用每时每刻都在运行的会计信息系统, 审计过程中不能终止工作时, 则可采用制度基础法, 首先对被审计单位计算机会计信息系统的一般控制和应用控制进行审查, 根据一般控制和应用控制审查的结果决定抽查的重点、范围和方法, 这样, 既可以降低审计风险, 又可以减少对被审计系统正常工作的影响。由于要审计的内容大都存储在磁性介质中, 而磁性介质很容易被篡改、删除而不留下任何痕迹。因此, 对于计算机会计信息系统审计一般应采用就地审计或突击审计的方式。在进行审计时, 可以采用事先不通知操作员或程序员的情况下, 把系统中正在运行的数据拷贝出来进行审查, 以防操作员把数据篡改、删除等, 只有这样, 才能保证被审程序和数据的正确、完整性, 也才能有效地降低审计风险。

(四) 加强审计人员的培训学习, 提高审计人员的素质, 降低计算机审计风险

应定期对审计人员进行培训, 强化审计人员后续教育准则的实施和执行, 强化审计机构和审计人员的风险意识。不断更新审计人员的知识结构, 提高他们的技术水平和职业判断能力。在新的审计环境下, 尤其要加强计算机应用技术、数据处理技术的培训, 大力加强计算机审计的研究 (包括理论、技术、方法、制度等) , 培养复合型的审计人才, 以更好地适应审计环境变化, 出色地完成审计任务。

(五) 改进会计软件的评审机制, 规范计算机审计程序, 加强计算机审计法制化建设

财政部门对会计软件独家评审的纵向评审机制, 给会计电算化信息系统审计工作带来了一定的困难和风险。因此, 应对会计软件评审机制进行改进, 在会计软件通过财政部门评审前, 由审计机关组织专家对软件开发商进行软件开发审计, 并做出审计结论, 财政部门参考审计结论, 最终做出是否通过评审的决定。基层的审计人员只需参照审计结论来审查、评价基层用户的会计软件系统。这样就使审计人员和财政部门评审人员共同分担了评审责任和风险。规范计算机审计程序, 加强计算机审计法制化建设, 这是控制和规避计算机审计风险的基础。尽管我国针对计算机审计出台了《审计机关计算机辅助审计方法》《计算机信息系统环境下的审计》等审计标准和准则, 但社会环境是不断变化的, 必须根据社会环境的变化对规范计算机审计的审计准则适时地进行修订。只有进一步规范计算机审计程序, 加强计算机审计法制化建设, 使审计人员开展计算机审计工作时有法可依、有章可循, 才能有利于他们更好地开展计算机审计工作。

参考文献

[1]郭宗文:《计算机审计技术与方法》, 清华大学出版社2004年版。

对计算机审计风险防范的初探 篇10

1 计算机审计风险的成因分析

任何风险的产生都是由于信息不对称引起的, 计算机审计风险也不例外, 它主要是由于审计人员在运用计算机技术进行审计的过程中, 不能全面、准确地获得被审计单位的真实信息而导致得出的审计结论与被审计单位的事实相背离。我们认为计算机审计风险成因可以从审计客体、审计人员素质、审计环境三方面进行分析。

1.1 从审计客体分析

1.1.1 被审计单位电算化信息系统内控制度的缺陷给计算机审计带来的风险

在手工系统中, 内部控制的测试是看得见、摸得着的, 但在会计电算化信息系统中, 内部控制的设置发生了很大的变化, 大部分控制措施都是以程序的形式固定在计算机会计信息系统中, 肉眼无法觉察, 在很大程度上依赖于计算机处理。但计算机程序设置的内控制度执行是否到位, 关键还在于人员实际操作时是否执行到位, 如果人员操作不规范, 内控制度照样形同虚设, 存在着较大的风险。近年来, 我们在对路桥区镇街道财政组的会计电算化内部控制调查中发现, 虽然镇街道所使用的会计电算化系统软件本身都设置有明确的内部分工及授权机制, 但在实际操作时, 基本上都是由一个会计人员完成电算化会计软件的操作全过程, 电算化系统中的各操作人员实际操作过程中没有权限的限制, 任何一个操作员都可以不经授权进入电算化系统的任何模块。有的镇街道甚至连前台的操作密码都没有设置, 数据库基本上都没有设置密码, 一个稍微懂点数据库知识的外人, 无须任何授权就能长驱直入地进入到其数据库中, 数据库的安全性极差。电算化会计信息系统内控功能的虚设使得舞弊行为有机可乘, 从而增加了审计风险。

1.1.2 被审计单位电算化信息系统基础工作的薄弱给计算机审计带来的风险

在对财务数据的审计工作中, 我们常发现有些被审计单位的会计人员常将数笔不同类型的原始凭证发生额汇总合并为一笔账输入电算化信息系统中;对通过开立现金支票支付的款项, 不通过“现金”科目过渡, 在电算化信息系统中反映为“银行存款”科目支出;将一些不合规大额支出, 不分款项性质, 均罗列在“其他”明细科目等, 在这些不规范的记账信息里面, 都极有可能隐藏了重要的审计线索。对这些明细反映不全面、不真实的电子会计信息, 审计人员如果过分地依赖计算机进行分析处理, 而不附加复杂细致的手工审核, 就很可能造成审计人员实际所得与被审计单位真实的会计信息存在偏差, 从而加大了审计风险。

1.2 从审计人员素质分析

1.2.1 审计人员计算机专业知识深度不够

目前被审计单位电算化信息系统已日益普及, 因此, 专业审计人员既需要具备丰富的审计专业知识, 也需有专业的计算机知识, 特别是要掌握数据库的处理技术。不仅要掌握通用审计软件的应用操作, 还应当能够根据审计对象的个体差异, 及时编写出各种小程序小模块来弥补审计软件的不足。但目前大部分审计人员只掌握了计算机操作系统的初步应用能力, 高层次的计算机系统设计、程序编译检测技能普遍缺乏, 从而不能有效分析和掌握被审计单位的数据系统结构。因此, 在运用计算机审计技术进行取证时, 很可能出现审计人员实际所得的会计信息与所预期的存在较大偏差, 从而加大了审计风险。

1.2.2 审计人员的计算机审计风险防范意识不强

计算机系统下的审计风险与传统手工审计相比, 内容更广、更深, 集中表现在计算机审计风险隐蔽性强、可控性差、破坏性大等特点上。审计人员必须对此引起足够的重视, 如果仅仅为了完成审计任务, 而不考虑审计风险内容及其内涵的变化, 对所发现的各项疑点没有进行必要的复查, 完全依赖计算机所运行的结果, 就很难保证审计工作的质量, 从而无法客观真实地评价被审计单位审计期间财务及业务收支情况, 加大了审计风险。

1.3 从审计环境分析

1.3.1 被审计单位电算化信息系统软件的多样化

目前, 被审计单位所使用的财务及业务数据信息化软件版本不一, 在功能、程序处理上都有着一定的差别, 其要求运用的审计技术和方法也不一样, 从而给审计人员的审计增加了复杂性, 审计人员如果对软件不熟悉或采用了不当的审计技术和方法, 必然会带来审计风险。在实际工作中, 我们发现被审计单位的会计电算化软件大都是自行采购的商品化软件, 数据文件结构也各有差异。特别是一些大型的业务数据库, 如税收、社保、医院等信息系统, 各数据文件的字段及其关联结构极其复杂, 即使能够打开被审计单位的数据库, 但如果不对其数据结构有相当的熟悉程度, 获得的常常只是被审计对象的部分信息, 很难掌握被审计单位的业务信息全貌, 极易导致形成审计风险。

1.3.2 审计线索隐蔽化

手工方式下的审计线索主要是纸质凭证、账簿和报表等相关资料, 审计线索明显可见, 而在会计电算化方式下, 由于计算工具、存储介质和网络技术的引入, 导致审计线索有逐渐减少甚至消失的趋势。这是因为在会计电算化方式下, 会计数据一进入凭证系统, 就在计算机会计系统内不受人工干预的情况下自动进入下一数据流程。与此同时, 机内的日志文件又可删除, 保存在磁性介质中的会计数据也可以人为不留痕迹地加以修改或删除, 这些都削弱了审计线索, 减少了审计过程中发现错误的机会。电子信息存储的隐蔽性导致信息获取的复杂性, 必然会加大审计人员的审计风险。

2 防范和降低计算机审计风险的途径

2.1 要加强对电算化信息系统内控制度的审计

被审计单位健全的电算化信息系统内控制度是审计人员能够运用计算机审计技术及防范计算机审计风险的基础和前提。在电算化信息系统中, 主要通过建立电算化软硬件管理制度、电算化岗位责任制度、上机操作管理制度以及电算化信息档案管理制度等保证会计信息的真实性与正确性。在利用被审计单位的电算化信息系统时, 审计人员要围绕信息系统内部控制的五要素, 即控制环境、风险评估过程、信息系统与沟通、控制活动、对控制的监督五方面对被审计单位的信息系统内部控制的有效性作出评价。这样有助于审计人员在审计过程中对被审计单位固有风险和控制风险作出合理的评估, 并以此为基础将计算机审计风险控制在一个可接受的水平上。

2.2 要因地制宜地改进计算机审计方法

由于要审计的内容大都存储在磁性介质中, 而磁性介质很容易被篡改、删除而不留下任何痕迹。因此, 在对被审计单位计算机会计信息系统审计时应采用就地审计或突击审计的方式。在进行审计时, 可以采用事先不通知操作员或程序员的情况下, 把系统中正在运行的数据拷贝出来进行审查, 以防操作员把数据篡改、删除等。待条件成熟时, 可以根据针对各审计对象的不同特征编制审计检查程序进行联网审计, 将事后的审计监督与事前事中的监督结合起来, 使审计风险降到最低。

2.3 积极取得被审计单位的支持和配合

在进行计算机审计时, 如果被审计单位的财务人员、操作人员不予配合, 把存在磁性介质中以及会计信息系统中的财务数据进行加密、修改、删除、隐匿等, 审计人员很难进行审查, 因此, 审计时应积极取得被审计单位的支持和配合, 降低审计风险。

2.4 积极采取多种措施培养具有复合型知识结构的审计人员