2024年1月12日发(作者：)

从其他地方找到的知识梳理，与大家一起分享下

内部控制的分类

预防性控制,在事情发生前监测问题,如职责分离/仅雇佣合格人员/使用访问控制软件/控制访问物理设备/完成程序化的编辑检查

检查性控制,使用控制检查和报告发生的问题,如Hash totals哈希汇总/生产作业中的检查点

内部审计/回显控制

纠正性控制,修复检查控制发现的问题/找出问题原因,纠正问题衍生的错误/修改处理系统以减少未来发生问题,如意外处理计划/备份流程/恢复运营流程

审计风险的分类

固有风险,假设不存在相关的内部控制的情况下,发生重大错误的风险

控制风险,指有内部控制制度,但无法预防及时发现或纠正重要错误的风险

检查风险,信息审计人员采用了不恰当的测试程序,未能发现已存在的重大错误风险

整体审计风险,是对个别控制目标所评估出的各类审计风险的综合

符合性测试和实质性测试

符合性测试:

1. 关注内部控制的有效性,从而帮助审计师确定实质性测试的性质、时间和范围，

2. 符合性测试可以用来测试既定程序的存在和有效性

3. 符合性测试需要测试组织符合控制程序所收集的证据

实质性测试：

1． 实质性测试验证实际处理的完整性，通过实质性测试可以确定财务报表和财务信息所反映的业务活动的正确性和完整性

2． 实质性测试需要评估组织的交易、数据若其他信息的完整性

审计抽样分类：

按抽样决策的依据不同，可分为

1．统计抽样：审计人员在计算正式抽样结果时采用统计推断技术的一种抽样方法，客观的方法决定样本量大小和抽样方式

2．非统计抽样：审计人员全凭主观标准和个人经验来评价样本结果并对总体做出结论

两者的区别是：非统计抽样不能理化抽样风险，统计抽样可以量化

按审计抽样所了解的总体特征不同，可分为

1． 属性抽样：估计一个控制或一组相关控制属性的发生概率。与符合性测试有关

有三种基本方法：

固定样本量抽样

停-走抽样

发现抽样

2． 变量抽样：根据总体的抽样来估计总体的金额数或其他衡量单位，与实质性测试有关

有三种常用方法：

分层单位平均估计抽样

不分层单位平均估计抽样

差额估计抽样

补偿性控制和重叠性控制

补偿性控制是由健全的控制来弥补其他控制缺陷

重叠的控制同时有两个健全的控制

标准IT平衡记分卡

使用一个三层架构来四个方面的评价要素：使命，战略，措施

四个方面：财务、客户、内部流程、学习与发展

风险管理过程

第一步：对那些具有脆弱性，易受威胁，需要保护的信息资产进行识别与分类

第二步：评价与信息资源相关的威胁和脆弱性，及其发生的可能性

第三步：结合考虑各风险要素形成对风险的总体

项目管理方法：

1、 关键路径法：因为项目的构成是一系列、次序排列的独立任务，利用类似网络结构的图示表示各行为之间的关系，所有链中，时间消耗总数最大的一条链，也就是关键路径，因为它代表了整个项目预计的最短耗时。

2、 项目评审技术PERT，是一网络管理技术，常用于充分计划的系统开发项目，计算时间公式：

（乐观时间+悲观时间+4*最可能时间）/6

使用PERT技术也可以计算关键路径，它就是网络中最长的，唯一的那条路径。

3、 时间盒管理TIMEBOX，它是一个相对短的、绝对的和不许变更的时间内以及有限资源的情况下，定义和部署软件交付品

传统的系统开发生命周期法SDLC法

也称为瀑布式开发技术。各个阶段包括：可行性研究---需求定义---（自行开发时）设计---（直接采购时）选择---（自行开发时）开发---（直接采购时）配置---实施---实施后维护

其他的系统开发方法：

1．增量开发或渐进开发，系统内嵌到各阶段或版本中，而不是在开发完成后整体交付

2．迭代开发，这种方法涉及使用迭代或增量来构建系统（进化式开发、螺旋式开发、敏捷开发）

3．面向数据的开发方法，DOSD

4．面向对象开发方法，OOSD

5．基于组件的开发方法

6．基于WEB应用开发方法

7．原型法：也称启发式或演化式开发方法，不断建立和更新原型，采用快速开发工具，缺点是缺乏文档

8．快速应用开发方法（RAD），支持单独系统的开发和实施，但不支持整个企业信息需求

9．敏捷开发，是指支持非传统方式开发复杂系统的一系列开发程序，最早出现scrum方法

测试方法：

单元测试

接口测试/集成测试

系统测试：包括恢复测试、安全测试、压力测试/容量测试、性能测试

最终验收测试

其他类型测试：

α测试，由一个用户在开发环境下进行测试，也可以是公司内部的用户在模拟实际操作环境下测试，其目

的是评价软件产品的功能，可用性，可靠性

β测试，由软件的多个用户在一个或多个用户的实际使用环境下进行测试，该测试是在开发者无法控制的环境下进行软件现场应用。

导航测试，又称为先行测试，对系统的某些特定的或预定义的内容进行预备性的测试

白盒测试，根据软件产品的内部工作过程，在计算机上进行测试，以证实每种内部操作是否符合设计要求

黑盒测试，根据软件产品的功能设计规格，在计算机上进行测试，以证实每个实现了的功能是否符合要求

回归测试，对测试计划或测试场景的某些内容重新进行了测试，目的是为了保证最近对软件所做的变更和修改没有引入新的错误，要求测试数据与以前测试数据一致

功能/确认测试：它的任务是验证软件的有效性，即验证软件的功能和性能及其它特性是否与用户的要求一致

平行测试，把一套测试数据同时输入到测试系统和对比系统中运行，比较两个系统的输出结果，以判断被测试系统的正确性

社会性测试：为了证实新系统在目标环境中运行时，不会给其他系统带来负面影响。

软件能力成熟度模型CMM

第1级初始级，缺乏明文管理办法，紧急时已订规程丢在一边，成功信赖于某个有经验人，项目实施不可预测

第2级可重复级，建立了跟踪成本、进度等的基本项目管理过程，基于经验制定规范，使类似项目可再成功，能跟踪发现问题，质量得到控制----关键之处是建立基本的项目管理控制

第3级已定义级，制定了标准过程文件 ，建立了机构的软件工程过程组，制定了人员培训大纲保证人员胜任岗位，项目成本工期受控，质量可跟踪----关键之处是既关注项目问题也关注组织问题

第4级已管理级，为产品和过程建立了量化目标，对项目过程活动均做了度量，可量化评价，可有效控制过程和产品的性能，可预知产品质量，新应用领域的风险可知可控---关键之处是对软件开发和软件产品都有一个定量的理解

第5级已优化级，集中注意于过程的持续改进，自知薄弱环节可预防缺陷出现，重视探索创新活动，并推广，出现的缺陷得分析，找出原因，防止再次发生----关键之处是强调不论组织还是项目必须追求持续的、可度量的过程改进

ISO 9126 软件产品质量评价特性及应用指南

ISO 15504 软件过程改进和能力测定

连续在线审计技术

1、 系统控制审计检查文件和内嵌审计模型（SCARF/EAM），通过在组织的主机应用系统中内嵌经特别编写的审计软件

2、 快照，这种方式记录一个事务从输入到输出各阶段的处理轨迹

3、 审计钩，该技术在应用系统中内嵌程序“钩”，象标识符那样起作用，在错误或不规范事务失去控制之前，提醒信息系统审计师采取行动

4、 整体测试ITF，该技术在审计对象应用系统的生产文件中设置虚构的事务，运行并输出，以确认计算机数据处理的正确性

5、 持续和间歇性CIS，在一个事务的处理运行期间，计算机系统模拟应用程序指令的的执行，当每一个事务输入时，模拟器就判定是否符合预定义的标准，如符合，就审计该事务

PKI管理架构

认证授权中心（CA），通常所说的数字证书认证中心，即发放和管理数字安全证书的专门组织

注册中心（RA），CA委派RA行使一部分记录或验证信息的管理职能，通过RA提交的信息，CA才决定是否发放证书

证书废止列表（CRL），CRL是检查证书持续有效的工具

证书实施声明（CPS），一个CPS是管理认证授权运作的一套规则，它提供对由一个特定的CA所发布的证书的价值和信任关系的理解

防火墙种类

1．包过滤防火墙，在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，即ACL，通过检查每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，决定是否允许通过。

优点是：逻辑简单，价格便宜，性能稳定，易于安装和使用

针对它的攻击手段有：IP地址欺骗，源路由定义，碎片攻击

2．应用层防火墙，有两种，都主要用于加固操作系统安全，都需要建立一个堡垒主机

一种是应用级防火墙，通过一系列代理来分析数据包，每一个服务启用一个代理

二种是电路级防火墙，通过建立一个回路对数据包起转发作用，只需为所有的应用建立一个总代理

3．状态检测防火墙

能够在网络层实现所需要的防火墙能力，采用了一个在网关上执行网络安全策略的软件引擎，称之为检测模块

防火墙实例：

1． 屏蔽主机防火墙，一个包过滤路由器及一台堡垒主机来实现网络层的包过滤和应用代理服务功能

2． 双穴主机防火墙，一台装有两块网卡的堡垒主机做防火墙

3． 屏蔽子网式防火墙，用两台包过滤路由器将子网分别与内外网分开

私钥加密体系，基于对称加密，常用的如DES、AES

公钥加密体系 ，基于非对称加密，如RSA公钥密码算法

数字签名的主要目的是实现以下安全特性：

1． 数据完整性

2． 身份鉴别

3． 无否定服务

4． 防止重放攻击

应用层常用的加密协议与标准

SSH，是SECURE SHELL的简称，在应用层实施，主要保护TELNET和FTP服务

SSL，SECURE SOCKETS LAYER，安全套接层协议，可以保证信息的真实性、完整性和保密性，但由于它不对应用层的消息进行数字签名，所以不能提供不可否认性

IPSec,IP Security ,即IP安全协议，在IP层提供安全服务，通过两个安全协议AH与ESP，IPSec提供的网络安全服务具有以下特点：机密性、完整性、真实性、抗重演

S/MIME，标准的邮件安全协议

SET，安全电子交易协议

恢复点目标RPO：最早可接受的数据恢复时间点

RPO短，就需要采用数据镜像或磁盘双工技术作为实施的恢复策略

恢复时间目标RTO：业务运行中断的情况下可接受的停机时间来决定

RTO越小，则对灾难的容忍程序就越低，可以选择备份的站点采用“热站”合同方式

其他恢复的重要参数：

中断时间窗---组织可以等待的自失效点时刻到关键服务/应用恢复的时刻，该时间窗之后，如果未能恢复运转的损失会愈来愈大

服务实现目标---直到正常的生产系统恢复运转，由替代流程/程序实现的服务水平

最大可容忍损耗---组织使用替代方式支持的生产处理的最长时间

异地备份硬件设施

热站：提供从机房环境，网络，术机等全部配置

温站：只配备部分设备，通常没有主机，只提供网络连接和外部设备

冷站：只提供支持信息处理设施运行的基本环境，如电线，空调，场地等

移动站点：特别设计的拖车式计算设备，可快速转移到业务门或恢复地点，是一个已作好充分准备的信息处理设施