试述信息系统安全性审计

摘 要：本文对信息系统安全性审计的产生和发展进行回顾分析，剖析信息系统安全性审计的重要性，然后从软件系统、硬件系统、网络系统及数据库系统四个方面介绍开展信息系统安全性审计的技术和方法，并分析我国信息系统安全性审计的现状，提出加强信息系统安全性审计的对策和建议。

关键词：信息系统 安全性 审计

随着社会信息化程度的提高，信息系统的广泛应用带来便利的同时也带来了巨大的挑战。日益扩大的使用领域和网络系统对会计信息系统本身及其安全又将产生更大的影响，不仅影响传统的信息处理及信息披露的方式，而且在安全方面会产生更多的不确定因素。软件、硬件、网络、人员等不安全因素使得对信息系统的安全性审计越来越重要。

1.信息系统安全性审计的主要内容和技术

1.1信息系统的软件系统安全性审计

软件的安全性是指软件在受到恶意攻击时仍能保证所需功能的能力，因此，软件产品的安全与否直接关系到信息系统的整体安全性。但是，每一个软件产品都无法保证百分之百的完美、没有漏洞和瑕疵，而这些漏洞和瑕疵又往往就成为病毒或者黑客的攻击途径。目前专家学者较多关注软件的失效安全性，即软件运行不引起系统事故的能力。对它的度量主要是安全度、平均事故间隔时间、失效度、故障率等。

1.2信息系统的硬件系统安全性审计

硬件系统的安全性审计主要考量的就网络设备的网络策略设置，主要包括交换机、路由器、防火墙等。

1.2.1设备级的安全措施。考虑到有些IP特性对局域网来说是有用的，但对广域网或城域网节点的设备是不适用的。如果这些特性被恶意攻击者利用，会增加网络的危险。在网络设计时可考虑关闭以下这些IP功能的开关：①重定向开关；②定向广播报文转发开关；③ICMP协议的功能开关。

1.2.2核心路由器的多种安全策略。核心路由器提供多种安全措施，包括一系列的安全特性，可以防止拒绝服务攻击、非法接入以及控制平面的过载。恶意用户的攻击主要从空间与时间两方面进行。空间方面的攻击主要利用路由器ARP缓存的有限性，通过发送大量伪造的ARP请求、应答报文，造成路由器设备的ARP缓存溢出，从而无法缓存正常的ARP表项。时间方面的攻击主要利用路由器计算能力的有限性，通过发送大量伪造的ARP请求、应答报文或其他能够触发路由器ARP处理的报文，造成路由器设备的计算资源长期忙于ARP处理。我们可以使用基于接口的ARP表项限制和基于时间戳的防扫描两种特性来防止ARP攻击。

1.2.3流量监控、会话控制。流量监控主要是指防火墙通过对系统数据流量和连接状况进行监视，在发现异常情况时采取适当的处理措施，有效地防止网络受到外界的攻击。支持多种流量监控，主要包括：基本会话监控、承诺访问速率、实时流量统计等。

1.3信息系统的网络系统安全性审计

网络系统的安全性审计已广泛应用于政府、电信运营商、能源、金融等行业。网络安全审计系统大多通过旁路镜像或分光方式，采集网络数据进行分析、识别，全面记录网络系统中的各种会话和事件，发现和捕获各种违规行为和内容，实现对网络安全事件的跟踪和事后追查取证。其技术特点包括：

1.3.1网络安全审计系统不会影响网络信息系统自身运行与性能；

1.3.2对各种网络行为，如网站访问、邮件、远程终端访问、即时通讯、论坛、在线视频、P2P下载、网络游戏等，提供全面的行为监控，方便事后追查取证；

1.3.3对网站访问、邮件、文件上传下载、论坛发帖、非加密运维操作等进行内容监测。

1.4信息系统数据库安全性审计

数据库系统的安全特性主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。数据独立性包括物理独立性和逻辑独立性两个方面。通常比较完整的数据库对数据安全性采取以下措施：

1.4.1将数据库中需要保护的部分与其他部分相隔；

1.4.2采用授权规则，如账户、口令和权限控制等访问控制方法；

1.4.3对数据进行加密后存储于数据库。

2.信息系统安全性审计的现状

国家审计署在2011年初召开的全国审计系统信息系统审计研讨会上就提出：“当前国家审计中，信息系统审计的着力点主要体现在“三性”上，分别是“信息系统安全性”、“信息系统有效性（可靠性）”、“信息系统经济性”...“‘信息系统安全性'，一般意义上是指信息系统的硬件、软件、网络和数据资源是否得到妥善保护，不因自然和人为因素而找到遭到破坏、更改或者泄露系统中的信息。”1

中共中央政策研究室与信息产业部联合主编的《国家信息安全报告》认为，我国信息安全的形势已十分严峻。其主要表现在：

2.1信息与网络安全的防护能力很弱，许多应用系统处于不设防状态，具有极大的风险性和危险性；

2.2对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造；

2.3基础信息产业薄弱，严重依赖国外；

2.4国家信息安全管理机构缺乏权威，协调不够；

2.5信息犯罪在我国有快速发展蔓延的趋势；

2.6全社会的信息安全意识亟需提高。但近年来国内也开发出一些审计系统，虽说它们或者是审计不够全面或者不是真正意义上的审计系统，但是应该说我们取得的成绩还是值得肯定的。

3.完善和促进我国信息系统安全性审计的对策和建议

为完善我国信息系统安全性审计，我们要努力做到如下几点：首先，建立我国信息系统安全性审计长效机制。信息系统的安全性审计必将在未来的审计工作总占据越来越重要的地位，因此建立安全性审计长效机制将成未来审计工作的重要一环。其次，建立健全信息系统审计法律法规。由于目前信息系统安全性审计方面的政策、法律法规比较缺乏，阻碍了信息系统安全性审计的发展，因此我国应当尽快建立健全相关的法律法规。最后，提高人员素质是加强信息系统安全性审计的基础。处于信息环境中的审计人员必须树立创新意识和终身学习的理念，提高专业素质和自身素质，培养利用网络技术熟练进行业务处理的能力。

参考文献：

[1]陈婉玲，杨文杰.ISACA信息系统审计准则及其启示[J].审计研究，2006(增刊）：30-33.

[2]曹晖，王青青，马义忠，罗平.一种新型的数据库安全审计系统[J].计算机工程与应用，2007.

[3]国家计划审计署课题组.计算机审计数据采集与处理技术研究报告[M]，北京清华大学出版社.2006

注 释：

1.该表述收录在《信息系统审计操作指南研究》中

作者简介：

张勇（1968-），男，上海人，贵州财经大学教授、博士、硕士生导师、审计处处长，中国审计学会教育分会理事，中国政府审计研究中心和审计发展研究中心学术委员会特约研究员，研究方向会计理论与审计理论。