前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的外審員信息安全主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：外審員信息安全范文

關鍵詞：信息安全；網絡安全危脅；安全防護系統

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2012)26-6245-03

計算機網絡技術迅猛發展，各發電企業信息化網絡日漸普及，成為了企業科技化管理的重要手段。通過對數據的集中、共享、處理使得信息系統為發電企業生產經營、安全生產等各方面提供了巨大的科技支撐。但同時伴隨出現的病毒蔓延、不良黑客入侵、流氓軟件等多方面問題成為了不得不面對的問題，同時對發電企業的安全生產也形成了巨大的威脅，以此進一步加強發電企業信息化安全是在信息化建設初期首要考慮的問題。

1發電企業面臨的網絡安全威脅

因為信息網絡的互通性，發電企業信息化威脅，既有可能來自本企業內部，也同時可能來源于外部。其內部威脅主要來自于員工、各信息系統管理員等，根據統計，網絡安全破壞活動近80%來自于競爭對手、任何惡意的組織和個人。主要表現的安全威脅為：

1）截獲用戶標識：截獲標識指以非法手段取得合法用戶的身份信息，主要是用戶的帳號和密碼，這是絕大多數發電信息系統采用的認證防護措施。如果侵入者得知了某位合法用戶的帳號和密碼，即便該合法用戶并未被賦予其他的特權，也有可能威脅整個系統的安全。如果帳號，特別是密碼，被以明文的方式由信息網絡傳遞，侵入者通過安裝協議分析軟件對網絡通信進行監視，則可以輕松獲取。如果密碼通過明文格式保存在用戶的計算機的內存或者硬盤中，侵入者更能夠有方法發現并利用這些密碼，同時如果密碼很簡單（如手機號碼、用戶生日、私家車號牌、用戶姓名等），更加容易被侵入者通過軟件得知，在網絡上大肆傳播的黑客工具都是通過幾種常用習慣的詞典來獲取用戶密碼。

2）偽裝：當未通過授權的用戶假扮成具有合法授權的用戶，登錄發電信息系統時就形成了偽裝。當未通過授權的用戶經過偽裝成信息系統管理員或者具有信息管理超級特權的有關用戶時，截獲用戶標識的情況是威脅最大的。應為侵入者已經獲取了某位合法用戶的標識，或者因為侵入者已經使信息系統相信其擁有另外的而實際上并不存在的權限，所以偽裝是很容易出現的。網絡地址欺騙實際上就是偽裝的一中形式，侵入者通過一個合法的IP地址，然后通過此地址截獲已被授予該合法地址的系統或者是服務器訪問權限。

3）非授權操作：非授權操作使用信息系統或者資源時，信息網絡安全就受到了極大的威脅。例如，企業的發電數據和財務數據有可能被未經授權的侵入者，非法修改并利用。

4）病毒：病毒是伴隨計算機技術產生，能夠通過不斷自我復制，大范圍傳播，對計算機、信息系統及其數據產生極大破壞的程序。因為病毒具有的隱藏性和可變異性，使得廣大用戶無法防范。據有關資料調查，99%的企業或者個人受到過計算機病毒的感染，63%的數據和系統損壞來源于病毒。給受害企業或個人帶來巨大的時間和人力資源的浪費，同時重要數據文件的丟失和損壞是無法用金錢來衡量的。

5）服務拒絕：通過向發電企業信息化系統發送大量的請求或者垃圾數據，使得服務器的資源被大量占用，直至資源耗盡，使其達到無法繼續提供正常服務或者服務器崩潰的目的。在發電企業信息化系統中，這樣的攻擊可能造成重大的安全威脅。

6）惡意程序代碼：伴隨著可自執行的計算機程序與WWW站點的集成，惡意程序代碼通過Microsoft ActiveX控件或Sun Java程序的大量使用形成了極大的安全威脅。

7）特權濫用：信息系統的超級管理員故意或者錯誤地通過對某系統的特權來獲取其不應獲取的敏感數據。

8）誤操作：信息系統超級管理員、業務系統管理員、一般用戶等因對技術方面熟練度不高，操作時的失誤，引起對信息系統安全性、完整性和可靠性的損壞。

9）權限變更：一般用戶利用信息系統的漏洞提高其用戶等級，以獲取未經授權的系統權限。

10）后門：信息系統研發人員出于故意或者為了日后維護便利在信息系統中設置的專用通道，使用其可以不受企業信息系統安全措施的控制。經常被人為利用控制、破壞正常運行的系統。

11）系統研發中的錯誤和調試不全：其包含對有關數據不進行充分的檢查、對系統的邏輯運行定義不準確，同時這些錯誤和不完善沒有通過大量的、齊全的系統調試檢查出來，有可能在運行中導致數據被錯誤生成且引入信息系統，破壞了實際數據的準確性。

12）特洛伊木馬：它通過提供一些有價值的或者僅僅是有趣的功能，在用未經用戶許可的情況下拷貝文件、竊取用戶的帳號和密碼、發送用戶的重要資料或者破壞用戶系統等。木馬程序是一種常見的危害性較大的威脅，由于其不易被發現，在一般情況下，它是在二進制代碼中被發現，且大多數后綴名都為無法直接打開的文件，其特點與病毒有許多相似的地方。

13）社會工程共計：主要是的是攻擊者利用人的心理活動進行攻擊，其無需采用高深的科技手段，同時無需入侵系統來完成。僅需要通過向特定用戶了解帳號和密碼，達到其獲取數據或者信息系統訪問權的目的。絕大多數情況下、攻擊者的主要目標是企業的辦公室接待員、行政或者技術支撐人員，通過對這些類別的用戶通過電話、EMAIL或者聊天工具等方式即可完成攻擊。

2發電企業信息化情況（以五大發電集團某下屬發電公司為例）

2.1信息化網絡狀況

圖1

2.2信息化系統狀況

1）財務及資產管理（簡稱：FAM）系統，是集中部署的核心應用系統，涵蓋電廠財務核算、費用報銷、資金計劃、物資采購、庫存管理、物資計劃、超市管理、合同管理、缺陷管理、檢修管理、設備維護等功能模塊。

2）OA辦公自動化系統。實現下屬企業以及與集團公司間收發文交互、內部收發文管理、郵件及通訊目錄功能。系統還提供了值班管理、督察督辦、會議管理、車輛管理、辦公用品等行政辦公管理功能。

3）PI實時信息系統：本系統采集、存儲DCS系統、電能量、環保系統等實時運行參數，除滿足電廠對實施信息的管理需求外，還將有關數據實時傳送集成到集團公司實時系統、集團公司生產與營銷實時監管系統。

4）電廠多業務管理平臺。系統包括運行管理、計劃管理、生產統計、班組管理、標準制度、政工管理、監審管理、合理化建議等功能，其中統計、政工、監審等模塊實現了與集團公司層面相應管理模塊的系統集成。

5）安全管理平臺：功能包括安全信息、安全報表、安全檢查、工作票、操作票等管理。

6）公司MIS系統：本系統不僅作為下屬企業所有管理信息系統入口門戶，還提供了項目申報、生產日報、人力資源、融合機制管理、培訓考試、安全認證管理、靈活報表等應用功能。

7）檔案管理系統：本系統由集團公司統一實施，各單位檔案系統建設須按照集團公司統一規劃，以便于OA系統統一接口、版本升級、技術培訓等。

8）網站系統由各下屬企業自主建設和運維管理，界面設計須符合集團公司VI視覺識別系統標準，內容、運維管理遵照公司和集團公司有關規定和要求，嚴格執行安全保密等有關規定。

3發電企業網絡安全防護設計方案

發電企業信息安全體系機構由網絡安全防護、數據備份和恢復、應用系統安全、信息安全管理等幾部分組成。

3.1網絡安全防護

3.1.1系統安全域防護

將企業信息系統通過網絡安全域的形式，分為服務器、用戶兩個安全域，同時劃分多個二級安全域，主要為生產信息系統、財務系統、系統管理員、一線生產班組、普通用戶等。

3.1.2網絡的高可靠性

1）企業核心網絡設備采取雙機互為熱備形式，兩臺中心交換機設備通過雙鏈路互聯；接入層與核心層也通過雙鏈路互聯。

2）重要用戶安全域通過雙鏈路與企業核心交換連接，進一步保證其鏈路的可靠性。

3）企業核心業務系統服務器也必須通過雙鏈路接入核心層。

3.1.3防病毒

1）企業管理信息大區按照要求統一部署防病毒系統，采用國內知名品牌網絡版。安全區一、二與三區各自擁有自己的防病毒服務器。

2）對管理信息大區的服務器、終端用戶，強制按照規定部署統一的可網管的防病毒產品。

3）在互聯網接口部署防病毒網關，以防其從外部傳播到企業管理信息大區。

4）注重防病毒管理，保證病毒特征碼得到有效的更新，通過查看病毒軟件的歷史記錄，了解病毒威脅情況并積極應對。

3.1.4防火墻

在位于內外網接口處部署防火墻一臺，采用高性能硬件防火墻，國內知名品牌，具有雙安全操作系統；可以提供對復雜環境的接入支持，包括路由、透明以及混合接入模式；具備防火墻、IPSEC VPN,SSL VPN、防病毒、IPS等安全功能。

3.1.5入侵檢測系統

在核心層部署一個入侵檢測的探頭，保證入侵檢測系統能夠及時發現有關威脅。

3.1.6主機安全加固

發電企業的關鍵應用系統（如生產營銷實施監管系統、財務系統）的服務器，采取定期安全加固的形式。形式包括：定期檢查安全配置、安全補丁、加強服務器系統的訪問控制能力等。

3.2備份與恢復

對于關鍵應用系統，必須采用每天定期備份，同時人工每月全備份一次。備份的數據必須采用異地存儲的形式，且需做到專人定期檢查，防止遺漏。

3.3應用系統安全

管理信息大區中的發電企業應用系統應著重確保其安全性能夠得到保證。其主要安全建設內容包括：對系統的訪問控制、用戶帳號密碼及權限管理、操作審計管理、數據加密管理、數據完整性檢查等。

3.4信息安全管理

1）通過成立企業信息化領導小組，加強信息工作包括信息安全工作的整體管理；

2）通過制定信息網絡管理制度及各級安全防護策略；并通過正式公文下發，嚴格執行。

3）通過設立專業的信息管理人員和成立涵蓋各業務部門的兼職信息員，形成覆蓋全面的信息化安全管理網絡。

綜上所述，發電企業網絡信息安全是一個系統工程，不能僅靠殺毒軟件、防火墻、漏洞掃描等硬件設備的防護，還要意識到計算機網絡系統是一個人機系統，在建立以計算機網絡安全硬件產品為基礎的網絡安全系統的同時，也應樹立各個用戶的網絡信息安全意識才能防微杜漸，構建一個高效、安全的網絡系統。

綜上所述，發電企業信息安全是一個系統工程，不僅需要入侵檢測系統、防火墻等硬件安全設備，同時還要注意信息系統是一個廣泛使用的人機互動系統，必須通過系列的安全管理措施和規章制度，進一步強化各級用戶的信息安全意識，做到信息安全人人有責、信息安全從自我做起，才能構建起一個高效、安全的企業信息化網絡。

參考文獻：

第2篇：外審員信息安全范文

關鍵詞： 網絡財務；安全問題；對策

中圖分類號：F812.0 文獻標識碼：A 文章編號：1001-828X（2013）02-0-01

一、網絡財務的安全問題

（一）原始數據的安全問題

傳統會計中的原始憑證因筆跡各異具有可辨認性，因多聯復寫具有相互牽制性，難以非法修改。而在以電子商務為主要內容的網絡會計中，原始憑證的數據轉變成磁性介質，對電子數據的刪除或修改可以不留任何痕跡，給原始數據的安全帶來很多隱患。

（二）會計信息的真實性問題

一方面，網絡財務是一個開放的會計系統，一些企業內部和外部計算機高手出于某種利益，故意破壞系統的安全，盜取會計資料、篡改會計信息；財務硬件設施偶然故障；財務人員操作不當都會造成會計信息的失真、缺乏完整。另一方面，網絡技術下，會計信息透明度是非常高的。其在互聯網上傳播速度非常快，財務數據的收集及大量經濟業務處理也缺乏有效的確實標識，這將直接影響會計信息數據庫系統中派生的會計賬簿和會計報表的真實性和準確性，從而使網上會計信息的真實性受到質疑。同時，信息使用者和提供者的理解差異都會給企業會計信息帶來失真的風險。

（三）企業內部控制問題

在網絡財務軟件中，會計信息的處理和存儲集中于網絡系統，大量不同的會計業務交叉在一起，財務信息復雜，交叉速度加快，使傳統會計系統中某些職權分工的控制失效。網絡的應用減少了人工輸入環節，數據訪問和數據交換都通過應用服務器進行，網絡數據處理的集中性使得傳統的組織控制功能減弱。網絡計算機集成化處理促使傳統手工會計中制單、記賬、復核等崗位相互制約關系弱化。原來靠賬簿核對糾正差錯的控制已不復存在，光、電、磁介質所載信息能不留痕跡地被修改和刪除，從而加大了會計系統安全控制的難度。

（四）網絡會計人員素質問題

網絡財務需要大批既懂會計又懂管理；既熟悉電算化知識，又熟悉網絡知識；既會業務操作，又能解決實際問題的會計人員。目前相當數量的會計人員的專業知識薄弱，尚不能適應網絡會計的發展要求。因此，會計人員素質不高也是網絡會計發展中面臨的一個問題。

針對上述問題，我們應從信息安全、內部制度和人才應用等幾方面采取相應的措施。

二、對網絡財務發展的對策建議

（一）會計信息系統安全對策

會計信息系統是一種特殊的信息系統，它除了一般信息系統的安全特征外，還具有自身的一些安全特點。會計信息系統的安全風險是指由于人為的或非人為的因素使會計信息系統保護安全的能力的減弱，從而產生系統的信息失真、失竊，使單位的財產遭受損失，系統的硬件、軟件無法正常運行等結果發生的可能性。保障會計信息系統安全對會計信息安全有著重要的意義。

保障會計信息安全的措施有二個方面：一是采用有效安全技術，網絡財務軟件采用兩層加密技術。為防止非法用戶竊取機密信息和非授權用戶越權操作數據，在系統的客戶終端和服務器之間傳輸的所有數據都進行兩層加密，確保會計信息的傳輸安全。二是制定和實施安全管理措施。根據會計電算化要求，建立健全崗位責任制度、安全日志等相關制度規定。

（二）內部控制措施

為了保證會計信息的準確性和可靠性，企業應在內部采取必要的控制措施，來維護網絡會計信息系統的安全。

（1）組織與管理控制。一是要設置網絡管理中心，由網管中心全盤規劃，采取措施確保各工作站、終端和人員之間適當的職責分離。二是要優化配置人力資源。制定措施，確保人力資源的合理利用。三是要發揮內部審計的作用。通過內部審計部門對網絡會計系統信息質量進行獨立和公正地監督與評價，有利于系統內部自我約束機制的建立。

（2）系統開發控制。系統開發控制是為保證網絡會計系統開發過程中各項活動的合法性和有效性而設計的控制措施，它貫穿于系統規劃、系統分析、系統設計、系統實施和系統運行測試與維護各個階段。其主要內容包括：第一，明確開發目標，制定管理計劃，監督開發質量，檢查各功能模塊設置的合理性及程序設計的可靠性，提高系統的可審性。第二，利用網絡在線測試功能，檢驗整個系統的完整性，并應對系統抗干擾能力和發生突發事件的應變能力以及系統遭遇破壞后的恢復能力進行重點測試。第三，一旦發現網絡系統各類軟件可能存在的安全漏洞，應立即進行在線修補與升級，并將所有與軟件修改有關的記錄報告及時存儲歸檔。

（3）網絡系統安全控制。第一，硬件設置安全控制。應制定網絡計算機機房和設置的管理制度、崗位職責和操作規程，嚴格禁止無關人員接觸系統，關鍵的硬件設置可采用雙系統備份。第二，系統軟件安全控制。嚴格控制系統軟件的安裝與修改，對系統軟件進行定期檢查，系統被破壞時，要求系統軟件具備緊急響應、強制備份、快速恢復的功能。第三，會計信息安全控制。會計信息安全的基礎是密碼。如通信線路上的數據流加密，數據庫中的數據文件加密，及訪問者的身份認證等。除此之外，模式識別的方法也在網絡信息安全方面得到應用。

（4）應用控制。應用控制是指在網絡會計系統的數據輸入、通訊、處理和輸出環節所采用的控制程度和措施。第一，輸入控制。輸入控制的重點在于建立適當的授權和審批機制，并對輸入數據的準確性進行校驗。第二，通訊控制。通訊控制的重點在于批量控制，業務時序控制、數據編碼控制與發放和接收的標識控制等。第三，處理控制。處理控制的重點在于處理過程的現場控制、數據有效性檢測和錯誤糾正控制等。第四，數據輸出控制。輸出控制的重點在于數據稽核控制，授權輸出控制和打印程序控制等。

（三）建立安全防范機制

安全問題是網絡財務發展中不可回避的重要問題。在網絡財務中，處在網絡中的任意一臺計算機都可獲得其他計算機的信息資源，本企業的網絡財務系統隨時都可能受到威脅，企業的財務數據等重大商業機密很容易遭到破壞或泄密，這將造成不可估量的損失，因而保證網上財務信息安全可靠成為了關注的焦點。建立安全防范機制，保障網絡系統的安全性是我們必須要做的工作。

保障網絡系統的安全性：首先，建立一個安全、可靠的通信網絡是非常必要的，這樣可以確保會計信息快速安全傳遞；其次，制定網絡計算機機房和設備的管理制度、崗位職責和操作規程，嚴格禁止無關人員接觸系統，加強網絡財務的硬件系統安全；第三，加強系統軟件安全控制。建立定時檢查更新制度，定期對網絡財務系進行維護 更新，確保數據庫信息的真實完整，把一些陳舊的會計信息保存起來，及時上傳新的會計信息，以便投資者及時用于投資決策。 第四，技術防范措施。一些黑客為了獲取企業重要的、秘密的信息非法對網絡財務系統的入侵，或者采用病毒對企業網絡財務信息進行攻擊，使企業會計信息流失。為了防范這種人為的侵襲，應采取設置防火墻、身份認證和授權管理、設立密鑰等安全技術，限制外界故意的侵入，用以隔離開局應用系統與外界訪問區域之間的聯系，限制外界穿過訪問區域對網絡應用系統服務器尤其是對會計數據庫系統的非法訪問；加強原有的基本賬戶和口令的控制，提供授權訪問控制和用戶身份識別。

（四）企業人才策略

企業要順應市場的競爭，首先要引進高層次會計人才，其次，要有計劃、有步驟、有針對性地組織開展會計人員的培訓工作。改善會計人員的知識結構，不斷進行知識更新。提高會計人員的計算機應用水平，特別是計算機網絡技術，培養熟悉科技與管理知識的復合型會計人才，以適應國際競爭需要。

第3篇：外審員信息安全范文

一、創建獨立性、權威性強的內審組織

要圓滿地完成內部審計職責，客觀需要設有獨立的審計機構，擁有良好的組織環境，內部審計應向隸屬董事會和審計委員會的環境模式化方向發展。這種模式的主要特征是獨立性，內部審計負責人直接對高級管理層的董事長負責，并向董事長、董事會、內部審計委員會報告工作，其它各部門和個人不得干涉內審工作，內部審計部門的審計計劃是獨立的計劃，并由董事會批準實施，可以對企業各部門、有關人員進行審計；能夠直接與董事會交流信息；對審計意見，被審計者要在限期內予以落實并向審計部門反饋實施情況；內審部門負責人的任免，由董事會辦公會議確定。

二、內審職能價值化

內部審計主要是管理控制。未來的內審發展方向是風險導向型審計，以風險評估為主，主要是為組織貢獻附加價值。內市職能定位轉向價值化，也就是內審必須考慮組織的風險和內審的風險防范，降低成本，提高組織的經濟效益，使內審接近單位經營活動的價值鍵，不斷提供附加服務。

首先，職能價值化帶來一系列的審計理念。內部審計是適應公司治理、風險管理。內部控制之需要，正如國際內部審計師協會現任主席杰奎琳·瓦格娜指出：環境的變化給內部審計師帶來增加價值的機會最多的領域是風險管理和公司治理。至于風險導向審計就是要改變內部審計人員對于控制與風險的思考，使內部審計人員關心組織的目標和風險，使審計的重點前移到和未來的規劃，把目前的經營管理控制同計劃、策略和風險的評估結合起來，內部審計的工作重點也隨著轉向經濟效益審計和風險管理審計。

其次，職能價值化使內部審計目標明確。內審的目標旨在提出規避風險的建議，使被審對象有效地履行他們的受托責任，以提高經濟效益。內部審計的服務對象主要是董事會和最高層管理當局。內部審計在資源分配時著眼于組織的風險和審計的風險；內審項目考慮節省成本和投入產品的比例關系，比如德、法國家的投入產出之比為1：10.內部審計效益表現在以下十四個方面：維護資產安全和促進內部控制；有效的經營；管理工作有序協調；成本的節約；人力資源的開發；多種制度的建設和特殊問題的處理；審查合同，降低供應成衣公司成員道德水平的提高和正直風氣的形成：降低外部審計費用；減少舞弊案的發生提供溝通管道；認定發評估企業風險；評估被審計單位管理業績；符合反貪污行賄法的規定。由此可以看出，內部審計部門將成為一個直接創造價值的部門，內審的增加價值功能是內審強大生命力的根本所在。

三、內審多元化

既內審的內容以風險評估為主，涉及組織的所有領域的每個環節、每個系統。具體為：一是在全球一體化和市場競爭日趨激烈的情況下，如何進行風險管理已成為內部審計的主要內容。內審工作的重點就是風險存在的領域；要進行事前審計，及早發現風險；實施審計意見以最大限度地規避風險，內部審計成為組織風險管理的重要手段；二是內部審計評估組織經營管理的全過程；三是內部審計評估組織的發生因素，主要是人員、任務、管理三個基本組織部分，就產品企業來說，包括政策與目標、組織與權責、產品與生產、市場與銷售、資金與財務、與開發、信息與商務、控制與管理等各個系統，有效規避體系風險；四是審計的類型，主要包括經營審計、績效審計、遵循性審計、質量審計、財務控制審計、財務報表審計以及機審計和舞弊審計等。

四、加強信息化管理

內部審計信息化具有特別重要的意義，它迎合新潮需要，以知識和信息作為核心資源，融入世界經濟主流；它代表最先進的生產力，降低成本、縮短時間、變窄空間，提高組織國際競爭力；有利于內部審計與最高管理當局的交流，突破時空限制，提供快捷而全面的服務。

內部審計信息化的思路應著重考慮如下幾點：一是從戰略的高度進行整體規劃。信息化規劃實現資源最優配置，在認識上和行為上達成一致，本著統一規劃、互聯互用、資源共享的原則，統一信息目標，明確信息化方針政策，落實信息化任務，充分考慮內部審計信息化的資源共享；二是構建內部審計信息化的平臺，在平臺上通過機網絡信息交換以實現內部審計目標；三是設計開發內部審計軟件，涉及組織運行的全方位、全過程，提供多接口、多通道、安全可靠、快捷高效的信息網絡體系；四是對信息化的網絡基礎建設、信息安全建設、內部審計師的信息化人才建設等提出更高的要求。

五、依法規范運作

第4篇：外審員信息安全范文

一、信息技術為現代控制提供了技術平臺

1.計算速度快，為實時監控提供了基礎

計算機超強的計算能力，大大的減少了信息處理的時間，使得事件的發生和信息的取得幾乎同時進行，這為無時滯的實時監控帶來了可能。企業管理者希望在每個時段，都可以在事件發生的同時看到潛在的危機和出現的機遇，而當今的信息技術正好為這種應用提供了堅實的基礎。

2.計算精度高，實現了對企業生產經營的精密控制

手工狀態下，受人的運算、記憶等能力的制約，為了能按時結賬、上報報表，只能簡化核算方法和核算內容，其結果是降低了所提供信息的精度。而計算機數據處理精確度高，從根本上克服了手工方式的這一缺陷，這一方面表現為生產中精益求精的質量控制，另一方面表現為對管理中獨一無二加密數據進行的控制。

3.記憶能力強，確保了對企業的持續控制

在知識經濟時代，廣泛而長久的儲存信息是對信息技術的基本要求。一方面，進行現場處理需要在計算機內保存大量的程序和信息以便隨時執行和調用；另一方面，為避免電腦病毒，黑客攻擊，自然災害等帶來的損失，維護程序及數據的備份和恢復系統以確保企業的持續運營。

4.邏輯判斷能力強，使內部控制趨于智能化

計算機具有邏輯判斷能力，從而能自動完成工作。只要人們預先把處理要求，處理步驟，處理對象等必備元素儲存在系統內，計算機啟動后就可以在不需要人工干預的情況下按預定程序自動完成預定的處理任務。它除了能夠避免人工計算可能產生的諸如疲勞、粗心等所導致的各種錯誤外，還能進一步拓展應用范圍，進行諸如資料分類、情報檢索、歸納推理等具有邏輯加工性質的工作。

5.傳輸網絡化，使內部控制由分散趨于集中

網絡技術最大的便利就在于消除了時空距離。網絡用戶可以通過網絡服務共享信息、協同工作，而不受時間、地理范圍的局限，也避免了由于時區不同造成的混亂，這為現代企業的集中控制提供了可能?；诰W絡技術的現代企業信息系統，比如ERP等，為集中控制的扁平化結構提供了技術基礎。

二、信息系統為現代控制提供了應用平臺

1.系統整體性，有助于信息整合，是事件驅動型流程控制的基礎

整體性是指系統的有機統一性，即整體綜合效應大于各個要素功能簡單求和的基本特征。事件驅動型系統的優點主要體現在，系統專注于業務事件會促成企業中各職能部門的融合，并促使財務數據和非財務數據融為一體，而所儲存的業務活動的多方面細節將能靈活的提供更完整，更有價值的信息。集成存儲所有業務數據，而不是存儲生成特定用戶所必需的數據，減少了數據的重復存儲，降低了數據的不一致性。將信息處理嵌入業務過程的集成處理可實現實時控制，促進業務重組，實現處理過程自動化，使人們的注意力從業務流程轉移到面向靈活多變的面向決策的任務。

2.系統層次性，有助于分工合作，是劃分一般控制、應用控制和專業控制的基礎

系統中各個組成要素是按照一定的次序和方式進行的有機組合，而不是雜亂無章的堆積。系統中各組成要素在地位、作用結構與功能上表現出層次性，這為劃分一般控制、應用控制和專業控制奠定了基礎。

3.系統開放性，有助于適應環境

系統具有不斷地與外界環境進行物質、能量、信息交換的性質與功能，系統向環境開放是系統得以存在的條件。系統之對于環境，既不能完全封閉，也不能完全開放。有條件、有選擇、有過濾性地向環境開放，既能使系統保持一定的自主性，也能使系統具有應付外來環境變化的靈活性，以利于自身的發展。

三、信息技術環境下會計內部控制存在的新問題

1.交易授權批準缺乏有效控制機制

在信息技術環境下，權限分工的主要形式是口令授權，業務人員可以利用特殊的授權文件或口令，獲得某種權利并運行特定程序進行業務處理，一旦泄漏可能引起失控并造成損失。

2.程序化操作使差錯反復發生

程序控制處理結構化的基礎作業，它的質量好壞直接決定整個內部控制的質量，若應用程序中存在著嚴重的BUG或惡意的后門，便會嚴重危害系統安全，并且不易被發現，導致差錯的反復發生。

3.數據安全性差

計算機的儲存方式是將信息轉化為電子形式存儲在磁介質之上，而儲存在磁介質上的數據極易被篡改甚至偽造且不留痕跡，這給控制帶來了一定的難度，同時也給一些不法行為提供了機會。

4.核算軟件可審性弱

由于會計電算化制度的不完善，大部分會計核算軟件可審性極弱，因而給審計工作帶來極大困難?，F有的會計核算軟件缺乏設立明晰的審計線索的設計思想，不能保證計算機審計監督。

5.網絡開放性危害及信息安全

隨著信息社會人們對信息質量的要求提高，會計信息系統從封閉型向開放型發展。開放型會計軟件以實現廣域化和信息一體化為基本特征。而這種充分開放使得一切信息在理論上都可以被訪問到。因此網絡環境下的信息系統很難避免被非法訪問和侵襲，極有可能遭到黑客對信息的非法竊取和病毒對信息的胡亂篡改。這種危險既可能來自內部也可能來自外部，如果對于比較大的企業或者非常重要的政府部門，那么這種信息被竊取或被篡改所帶來的損失將會是無法估計的，所以開放式的網絡環境威脅到信息的安全，威脅到企業的生存和發展

四、信息技術環境下完善會計內部控制的對策

1.加強會計信息系統內部控制制度體系建設

完善的會計信息系統內部控制制度是確保會計信息系統正常有效運行，實現會計目標的根本保證。企業應從組織控制、授權控制、操作控制等入手，建立健全內部控制制度。

2.提高信息系統開發質量

開發應用系統，除了強調一些技術特征外，更應確保業務活動被正確處理，最大可能地防范風險。在系統設計和開發過程中應加強控制機制的設計，以幫助用戶發現或糾正錯弊。

3.加強網絡安全與防范

網絡的開放性使數據信息的不安全性加大，為了加強企業的內部控制，我們必須加強網絡的安全性。計算機網絡安全從技術角度上來說，主要由防病毒、防火墻、入侵檢測等多個安全組件組成，一個單獨的組件無法確保網絡信息的安全性。目前廣泛應用且比較成熟的網絡安全技術主要有：防火墻技術、數據加密技術、入侵檢測技術、防病毒技術等。

4.網上公正形成三方牽制

由于信息技術環境下原始憑證以數據方式存儲，所以不能像手工系統那樣對每一張憑證做痕跡檢驗，可是利用網絡技術所特有的實時傳輸和日益豐富的互聯網服務項目，則可以實現原始交易憑證的第三方監控即網上公正。

5.增強核算軟件的可審性

在手工系統中，憑證，賬簿和報表嚴格按照一定標準和程序填寫登記，所形成的紙質審計線索高度可視，較為有效。但利用信息技術記載和再現原始業務依然可行。核算軟件應當增強可審性，方便利用電子審計線索追溯業務的來龍去脈。

由此可見，信息技術環境下的內部控制，挑戰與機遇并存，有效地內部控制不在于運用過多的審核人員，而在于利用信息時代的控制哲學與控制技術實現對業務和信息過程的充分控制。信息系統中的內部控制是否設計得當決定了該系統的生死存亡。

參考文獻

[1]王曉明.會計信息系統風險管理[J].合作經濟與科技,2009,3.

第5篇：外審員信息安全范文

【關鍵詞】 飯店信息系統；教學改革

【中圖分類號】G642.09 【文獻標識碼】A 【文章編號】2095-3089（2013）33-0-01

隨著信息技術的飛速發展，計算機和網絡技術得到了迅速的普及和發展，酒店的管理越來越倚重管理信息系統，通過管理系統管理，極大地提高酒店管理水平和服務效率，減少失誤，提高酒店經濟效益和綜合效益。

為了適應酒店業對信息化人才的需要，越來越多的職業學院酒店管理專業把《酒店信息系統》課程列為專業必修課程。由于課程開設時間短、軟件投入大、針對性教材缺乏等現實原因，酒店管理信息課程實際教學過程中仍存在偏重計算機知識講授，上課內容與酒店真實環境脫節、學生操作實踐不足等問題。酒店信息系統課程教學改革基于能力本位，利用實訓室安裝的三大酒店信息系統為硬件基礎，構建酒店真實運營情景，模擬酒店真實運轉環境，從培養目標、授課內容、教學組織、教學手段、教學評價五個方面開展改革，使學生獲得未來職業發展所需的職業能力，酒店信息系統課程不但教授學生如何使用三大酒店信息系統軟件，更將學習重點落在“運用信息技術管理酒店”上，即了解系統應用情況，選擇合適的信息技術來管理酒店，提高酒店經濟收益和服務質量。

一、完備實訓設施，構建一流課程實訓條件

在學院和酒店管理信息系統供應公司的共同努力下，學院高規格建設了酒店信息系統實訓室，與北京時機信息科技股份有限公司合作，購買當前國際國內酒店業使用最普及、最受歡迎的三大酒店信息系統管理軟件：Opera酒店管理軟件、Fidelio酒店管理軟件和西湖酒店管理軟件，按照5星酒店規格裝修設計模擬前廳、商務中心，行李房、總機等及可以容納60位同學同時進行上機操作練習的酒店信息系統課程專用機房，學生可以在學校全真環境下模擬真實酒店前廳運作的全過程，利用管理軟件進行酒店經營管理訓練。

二、以職業能力為導向，明確人才培養目標

酒店管理專業學生所需具備的職業能力包括職業道德和職業能力兩個方面。職業道德包括優秀的個性品德、強烈的酒店意識、高尚的職業道德。職業能力包括服務技能、溝通能力、顧客協調技能、執行技能、外語技能、管理技能等。酒店管理信息系統是由酒店管理人員、計算機硬件與軟件、網絡、辦公設備等組成的能進行酒店管理信息的收集、傳遞、儲存、加工、維護和使用，以提高酒店效益和效率為目的，并能為酒店進行決策、控制、運作的人機系統。課程的教學目標是使學生認識信息技術對提高酒店管理效益的重要作用，使學生掌握酒店管理信息系統的實際操作，了解酒店先進信息技術應用情況，具備利用信息系統技術在酒店開展管理的初步能力。具體包括以下三個目標：

（一）模擬酒店情境，培養實際操作能力。熟練的服務技能有助于學生迅速適應酒店工作，所以在日常的教學和實習實訓中要模擬酒店的工作環境以培養學生的實際操作能力。該門課程的首要目標是使學生熟練掌握一套酒店管理信息系統，能夠運用這套系統完成客人的預定、登記入住、消費入賬、客房管理、賬務審核、經理查詢、系統維護等操作。目前許多院校都引進了國內外知名的酒店管理信息系統，筆者所在學院引進了全國用戶最多的Opera、Fidelio和西湖軟件系統。該系統數據庫中有大量仿真的酒店客房數據、經營數據以及顧客數據，充分模擬了酒店情境。

（二）細化顧客信息，培養信息管理能力。酒店管理專業學生在能夠利用軟件進行基本業務操作的基礎上，還必須能力利用系統軟件來換取酒店全面信息，能夠對信息進行分析、處理，運用信息技術管理飯店。在信息系統課程教學過程中緊密結合酒店信息流，學生全面掌握酒店管理過程中需要掌握的信息，實際經營中的難點與矛盾。比如客史檔案信息，不但掌握客史檔案的創建，同時更理解客史檔案與酒店優質化服務作用。學生不但需要掌握酒店前臺管理系統外，同時還需要了解酒店后臺管理系統，如人力、財務等模塊的業務，這些知識的掌握對學生未來從事酒店管理中、高層的管理具有極大的幫助

（三）采用案例案例，培養學時實際分析問題能力。通過學生軟件模擬操練、酒店真實案例分析等授課途徑，不但培養學生的酒店業務工作能力，同時對學生的分析能力、綜合處理問題的能力工作進一步培養，達到酒店職業要求和學生職業化的最大融合。通過案例，學生深刻理解客戶信息管理制度與客戶信息安全的關系；客戶信息與個性化、定制服務的關系；客房收益管理與酒店營業收入的關系；普通客人與VIP接待區別處理；客人消費賬戶及客戶信息安全；客房設施設備的維護、客房房態的管理等。

三、圍繞酒店崗位需求與職業標準，開展全真仿真教學

（一）配置酒店主流軟件，進行比較教學。目前酒店業使用的管理軟件數量繁多，使用最為普及的有三種，Fielio、Opera和西湖軟件，為讓學生盡可能擴大知識面，學院根據酒店管理實際投入大量資金，購買三種管理軟件，開展比較教學。

（二）邊學邊練，理論教學實踐鍛煉結合。目前酒店管理信息系統常用教材，均相對理論化，偏重管理信息系統功能介紹，與明確的管理軟件數據接入不同意，理論與操作難同步開展，教學效果差。在該教學改革模式中，采用業務功能模塊教學，分為六個業務模塊，系統概論、預定、入住、收銀、客房管理、系統維護與夜審等，課前自學系統功能操作與系統要求，布置小組作業，利用管理軟件時間操作，熟悉操作要求，發現問題、分析問題、解決問題，實現單一的灌輸式學習向自主學習轉化。

（三）精確操作規范，嚴格規范要求。根據教學規范，將軟件核心功能進行簡化歸納，實現課堂教學內容濃縮，在教學中從系統的初始化、數據準備、開始運作、輸出結果等使學生掌握一個完整的操作過程，對系統有完備的了解，幫助學生更快適應酒店工作。因此，在教學中注重各應用模塊功能和工作流程的完整性，時間操作按照酒店規范要求，登錄必須輸入用戶名和密碼，規定嚴格的部門和員工操作權限。學生從系統初始化做起，開展客房狀態設置、參數定義、房間預定、接待入住、換房、續住、退房、結賬等常規業務處理，完成酒店前臺、后臺、夜審等功能。

四、以職業能力為導向，創新教學方法

（一）角色扮演，情景模擬練習。在六個業務模塊的學習過程中，不同的同學扮演不同的角色，分別扮演客人，酒店員工，管理人員和督導，模擬酒店預定、入住、離店情境，由學生扮演具體崗位工作人員，自主獨立進行相關的操作和問題處理。最后同學點評與老師點評相結合，指出問題與完成規范的地方。

（二）團隊合作，小組聯系，提升溝通協作能力。溝通能力是酒店管理人員與員工必須掌握核心技能之一，酒店業務繁多，部門綜多，且隨時可能發生各種突然事情，復雜的客情、各種突發事件的處理需要各部門通力協助，良好的溝通、協調能力是高效地解決問題、順利開展工作基礎。該課程在教學過程中，將所有的學生按照5人一小組分組，小組內部定管理人員、普通員工、客人、督導等角色，分工協作，明確職責。根據下達的任務，結合酒店真實工作環境，開展業務學習。通過團隊作業培養學生的協作式學習能力與增強學生的團隊意識。

五、重視過程性評價，改革課程評價體系

對學生的學習評價不僅重視期末考核，同時重視過程性評價，將階段評價和期末評價相結合。并且要強調評價的多元化，學生參與對同學之間的學習過程評價。團隊作業的評分由授課老師和其他小組的組長來共同決定評分等級。

（一）理論知識評價。通過期末閉卷考試進行評測。

第6篇：外審員信息安全范文

檔案是一種重要的社會信息資源，對于檔案信息資源不僅要保障其保密性，還要能夠充分開發利用其中所含有的信息。本文就高校檔案管理保密工作的問題進行分析，提出幾點建議。

【關鍵詞】

檔案管理；保密；對策

檔案資料對于用戶本身意義重大，因此檔案管理的管理工作一定要做好，檔案的開放并不意味著放棄保護，而是在遵循保密規則的基礎上進行正確有序的開發檔案。如何做好檔案管理的開放工作，需要工作人員對保密法以及相關制度規定非常熟悉，此外還需要工作人員能夠嚴格執行法律法規，進而做好檔案的保密工作。

1 檔案管理工作現狀

1.1 對檔案管理的認識不足

高校的檔案涉及到高校教師與學生的信息安全，檔案中記錄了學?；顒拥娜^程，其中包含著教師的工作細節、學生的獎懲事宜等等，在學校人動或者調查學生的詳細情況時，可以進行參考，進而能夠保障高校工作的順利進行。但是很多學校都沒有正視檔案的重要性，在就是學校本身對檔案管理人員的教育不足，進而導致檔案管理人員忽視了檔案的保密工作的重要性。

1.2 檔案丟失現象嚴重

由于上級領導對檔案管理人員的保密教育不足以及檔案管理人員沒有認識到檔案的重要性，導致檔案丟失現象十分嚴重。其次造成檔案丟失的原因還包括工作人員入職前為進行正規的培訓，從而造成檔案不能夠嚴格的執行登記、審核、簽字以及復查等一系列工作程序，情況嚴重的還會造成檔案丟失和損壞。學校檔案管理人員的工作態度能夠直接影響到學校檔案的管理質量，檔案管理質量的好壞會直接或間接的影響到學校的正常工作。

1.3 學校保密措施力度不足

計算機網絡的不斷發展，使得保險箱、防盜門、監控器以及防盜器等高科技產品應用到了學校的各種重要設施中。雖然檔案管理同樣加強了現代化設備大的使用，但是由于一些學校對檔案管理的重視程度較低，進而投入的經費較少，從而導致硬件設施的落后，除此之外，一些學校僅僅加強了計算機在檔案管理中的應用，但是對于檔案管理的信息化建設還不完善，計算機中的漏洞等對檔案保密工作的影響十分巨大。

1.4 檔案管理職責分工不明確

學校檔案管理工作需要極高的技術性和專業性知識。高校除了要建立完善的檔案管理制度之外，還要明確工作人員的職責分工。健全的檔案管理制度能夠極大的防止檔案管理過程中不良行為的出現。但是目前許多學校由于分工不明確，檔案管理制度不健全，進而造成檔案保密工作不到位。

2 做好檔案管理的保密工作的建議

2.1 加強對學校檔案管理的認識

由于檔案中的資料涉及到許多學校教師與學生的一些機密資料，學校的高層和檔案管理人員要加強對檔案保密工作的重視，特別是檔案。并且要能夠正確的分析和認識學校檔案中的資料具有的現實意義和歷史作用。除此之外，學校還應該能夠確定檔案的保密級別以及保密期限，防止檔案信息的泄露對學校造成重大的損失。

2.2 完善檔案庫房管理

隨著科學技術的不斷更新，學校應該引進一部分新型硬件設施到檔案管理體系中來。學校想加強檔案管理保密工作的進行，首先應該將檔案庫房建設好，檔案庫房應該采用專用的防盜門、加固窗戶，除此之外，庫房內外需要安裝監控設備，從而能夠極大的提高檔案管理的保密性。除了防護措施外，還應該在檔案存放地點建立索引以及文件保密級別目錄，使檔案能夠科學的、有效的使用。

2.3 加強檔案監督工作

加強檔案監督工作應該首先建立完善的檔案閱覽制度、外界制度以及復制制度，從而規范檔案利用的審批手續。其次根據人員的不同劃分不同的使用范圍，防止保密性級別高的檔案被隨意的閱覽。此外檔案管理人員要勤快，對于有問題的檔案應該及時的處理，并且在檔案登記簿上進行備注說明。檔案管理人員還應該做好檔案的審查工作，其中審查工作包括初審、中審以及終審。除此之外。還有做好方案的解密工作，對已過保密期限的檔案列入可以查閱和使用的范圍，進而有效的提高檔案的使用效率。

2.4強化檔案管理人員的責任意識

檔案管理人員是檔案管理體系中最重要的部分，提高檔案管理人員的安全意識、責任意識以及保密意識是做好學校檔案保密工作的前提和基礎。除此之外，檔案管理人員要具備極高的責任心和保密意識，檔案管理人員不僅要保障檔案完整和安全，還有能夠避免檔案的丟失，確保檔案的安全，完成高校檔案的管理工作。檔案管理人員在日常工作中，要時刻保持警惕和保密意識，確保檔案資料不外泄。

3 結語

總之，檔案的保密管理問題是現實工作中經常遇到的一個實際問題，我們一定要嚴肅對待。在檔案管理工作中，檔案保密和檔案維護安全始終是放在首位的，在能夠保障檔案保密以及維護安全的基礎下，進行科學管理、解密等措施，能夠極大的提高檔案的使用價值，進而能夠有效的避免由于檔案的泄露造成重大損失這一情況。

【參考文獻】

[1] 王麗華 論我國檔案保密工作的現狀及對策[J]-黑龍江科技信息2011（31）

[2] 房磊 人防工程檔案管理中應注意的幾個問題[J]-蘭臺世界2011（z1）

[3] 邵永慧 淺談行政事業單位財務會計管理中存在的問題與對策[J]-中國鄉鎮企業會計2012（3）

第7篇：外審員信息安全范文

計算機與網絡技術使世界進入信息。Internet與電子商務的迅速發展正使企業的經營方式和管理模式發生重大變化。探索網絡經營和網絡財會條件下的審計，是審計機構和審計人員面臨的新任務和新挑戰。本文嘗試探討網絡經營與網絡財會對審計的影響，以及網絡化條件下審計的特點與變化方向。

一、網絡經營與網絡財會對審計的影響

1.審計環境的改變隨著Internet的普及與發展，電子商務勢不可擋。電子商務大大地改變了企業的交易模式，為企業開辟了更廣闊的市場。企業可以把產品資料、銷售合同樣本、付款方式與折扣條件等都放到企業的網頁上，客戶一年365天、一天24小時，隨時都可以訪問查閱，不受上下班時間和假日的限制。客戶可以從網上了解商品，詢問價格，簽定合同，發送訂單，甚至可以直接在網上設計自己喜歡的商品。例如，通用汽車公司別克牌汽車制造廠，在網上為客戶提供自行設計所喜歡的汽車服務。客戶可以從可選擇的方案中分別就車身、車架、發動機、輪胎、顏色、車內結構等作具體的選擇，并從屏幕上即時看到自己選擇的部件組裝成的汽車模樣及其價格。客戶還可以利用模擬駕駛軟件進行駕駛試驗，直到滿意自己的設計結果并可立即在網上填寫訂單。企業可以通過網絡確認交易，出口報關，發送商品（僅限于信息產品），傳送發貨單和發票，劃賬結匯等等。隨著電子商務的推廣，企業面對一個全新的網上空間，交易與信息以光速在網上傳遞。

網絡技術與電子商務不僅改變了企業傳統的交易模式，而且使企業內部的經營管理發生了質的變化，企業的運作由計算機信息系統（如ERP系統）按先進的管理模式控制與管理。例如，當企業收到客戶訂單，系統將自動檢查該客戶是否為經核準的賒銷客戶，如果是賒銷客戶，系統自動檢查該客戶的欠款有無超過賒銷期、原有欠款加上本次訂貨金額有無超過其貸項限額，超過的訂單將被掛起并通知客戶，直到客戶歸還欠款或經有關主管特別批準才能發貨，如果不是賒銷客戶，系統控制先收款后發貨。一旦客戶的訂購被確認生效，通過企業內部網，訂單會自動進入企業的生產計劃，由計算機自動安排并組織生產。系統按事先定義的產品材料結構，根據生產計劃制定材料采購計劃。系統按生產訂單和產品用料配方向倉庫發出發料通知。確認發料時，系統自動編制轉賬分錄，進行生產領料核算，同時監控材料庫存量，一旦達到再訂貨點，將通知采購部門按計劃購料。企業的經營管理走向網絡化與自動化。

除了使企業的經營與管理方式改變外，電子商務和Internet的興起，還帶來了一種前所未有的企業——沒有經營場地、沒有物理實體、沒有確定辦公地點的虛擬企業。這些企業只要在Internet的一個結點上租用一定的空間，經過數字認證機構的認證，即可在網上接受訂單、尋找貨源，進行買賣。其辦公地點可以是任何一臺上網的計算機，包括可隨身攜帶的手提電腦。

電子商務與網絡經營使企業的經濟環境、組織結構、經營方式與管理模式等審計環境都將發生巨大變化，審計師必須了解和適應審計環境的改變。

2.審計線索的改變在手工系統中，由經濟業務產生紙性的原始憑證，會計人員根據原始憑證編制記賬憑證，根據記賬憑證登記明細賬和總賬，期未根據賬簿編制會計報表。每一步都有文字記錄，都有經手人簽字，審計線索十分清楚。

在電子商務和網絡經營條件下，傳統的審計線索可能完全消失。在電子商務系統中，客戶的訂單、企業的發貨單、發票、支票、電子貨幣或收付款憑證等都以電磁信息的形式在網上傳遞并存儲于磁性介質中。網上交易正因為傳統的紙性單據消失而被稱為無紙貿易。除外部交易的原始憑證無紙化外，在網絡經營條件下，企業內部業務的審計線索也發生了質的變化。不僅記錄業務的內部原始單據，如領料單、入庫單、驗收單等原始憑證將變為電磁化的信息，而且計算機信息系統根據確認的經濟業務自動編制記賬憑證、登記賬薄、編制報表，實現財會核算自動化。例如，當確認賒銷發貨時，系統立即登記有關客戶的應收賬款，并自動編制記賬憑證：借：應收賬款貸：產品銷售收入（根據銷量和已定義的單價計算）

貸：應交增值稅——銷項稅（根據已定義的稅率自動計算）

同時，系統按標準成本和減相應存貨，并自動編制結轉銷售成本的記賬憑證：借：產品銷售成本貸：產成品（根據銷量和已定義的標準成本計算）

會計的確認、計量、記錄和報告都集中由計算機按程序指令執行，各項處理再沒有直接責任人。代替傳統紙性免讓、賬簿和報表的是電磁化的會計信息。這些磁性介質上的信息不再是肉眼所能識別的，可能被刪改而不留下痕跡的，有些還可能是只是暫存的。如果系統設計時考慮不周，可能到審計時才發現只留下業務處理的結果而不能追索其來源。即使系統留有充分的審計線索，其產生與存儲方式、其特點與風險都與傳統的審計線索有重大變化。

3.安全控制改變電子商務與網絡經營給企業帶來了前所未有的新風險。在傳統的經營條件下，企業資產和經營的安全可以通過建立健全的內部控制得以保證。在網絡經營條件下，企業的經營和資產的安全離不開連在Internet上的計算機信息系統和網絡，安全不再是企業內部所能完全控制的。計算機病毒和黑客攻擊都可以從地球上的任何一個角落通過網絡威脅到網絡化企業的安全。雖然國際上廣泛采用防火墻技術防止來自外部的攻擊，但黑客和病毒的入侵仍屢屢得呈。全球著名的雅虎等5大網站曾連續受到了黑客的攻擊，迫使網站停止服務許多個小時，使企業受到巨大損失。因為電磁信息可以刪改且不留痕跡，企業在電子商務中要面對如何解決以前通過不可篡改的白紙黑字、簽字蓋章實現的交易確認、付款和網上信息傳遞的保密等。這些問題現在一般是通過由獨立的第三者加數字時間截，綜合運用有公鑰和私鑰的非對稱加密和hash技術等解決。這些控制措施都是在Internet上實施的，且都與被審計單位的資產與經營的安全可靠有直接的關系。另外，網絡化經營管理還存在計算機舞弊問題。計算機舞弊常具有智能性、隱蔽性和危害嚴重性、易逃避責任的特點。

由于電子商務與網絡經營的特殊性，網絡化條件下要建立許多全新的安全控制。這些控制除了包括企業內部的管理制度和企業信息系統的程序控制外，還包括外部網及網上交易的安全控制。如何識別、、審查和評價這些安全控制，是網絡經營與網絡財會給審計提出的一個新問題。在審計中，審計師要對企業的內部控制進行審查和評價，以作為制定審計方案和決定抽查范圍的依據。

4.審計技術改變在手工會計條件下，對會計資料的審計一般采用審閱、核對、分析、比較和困證等。這些審查工作都是由人工執行的。在經營與財務網絡化條件下，由于審計環境、審計線索、安全控制和審計內容的改變，決定了計算機輔助審計技術是必不可少、效率更高的審計技術。首先，審計人員要對計算機管理系統的處理和控制功能進行審查。此項審計常要利用計算機輔助審計。此外，在網絡化條件下，由于缺乏紙性的審計線索，審計人員不得不使用計算機跟蹤電磁性的審計線索。離開了計算機，審計人員根本無賬可查。利用計算機可以更快速、更有效地對電磁化的經濟信息進行抽樣、檢查、核對、分析、比較和計算，能有效地提高審計效率。擴大審查范圍、提高審計質量。

信息技術不僅給審計人員帶來挑戰，也帶來機遇。網絡化使計算機成為審計必不可少的工具，計算機輔助審計技術將成為審計不可缺少的常用技術。

5.對審計人員要求提高在網絡化條件下，由于審計環境、審計線索、安全控制、審計內容和審計技術的改變，決定了對審計人員的要求更高。沒有計算機、網絡技術和電子商務等知識的審計人員，會因為審計線索的改變而無法進行審計；會因為不懂得網絡經營與網絡財會的特點、風險及其應有的安全控制而不能識別、審查和評價企業的風險和控制；會因為不懂得信息系統及其開發而無法對信息系統的功能和開發進行審計；會因為不懂得計算機和Internet的使用而無法利用計算機審計。為了在網絡化條件下能更好地執行審計監督、鑒證和評價任務，審計人員不僅要有會計、審計、經濟、管理、法律等方面的知識，而且要掌握計算機、網絡、信息系統、Internet和電子商務等多方面的知識和技能。審計人員要了解網絡經營與網絡財會的特點和風險，掌握應有的控制及其審計方法；要懂得如何審計計算機管理系統的功能與開發；要能夠利用計算機和網絡進行審計。為了能有效地利用計算機進行審計，審計人員還要開發或協助開發各種審計軟件。經營與財會網絡化要求審計人員有更高的技術素質和知識水平。不過，很難要求會計師成為計算機與網絡專家。因此，在網絡化條件下，計算機與網絡專家、信息系統與電子商務專家將在審計組織中擔任重要角色。

二、經營與網絡財會條件下的審計初探

在網絡經營與網絡財會化條件下，由于上述種種因素的，審計業務將發生很大變化，這里筆者僅對網絡化條件下審計的特點和方向作一些探討。

正注重對機管理系統開發的審計在網絡化條件下，為了企業能正常經營、有效管理，必須建立合法、有效、安全的計算機信息系統與企業內部網。為達到此目標，有必要對信息系統（如ERP系統）的開發進行事前、事中的審計。這項審計工作一般由內部審計人員或企業聘請的審計人員執行。在系統開發的各階段，審計人員要注意審查：（1）系統的可行性；（2）系統經營業務和財會處理功能的合法性和正確性；（3）系統程序控制與管理功能的恰當性與有效性；（4）系統的可審性（留下充分的審計線索）；（5）系統測試的全面性和恰當性；（6）系統文檔資料的完整性；（7）系統的可擴展性。通過事前與事中審計，盡早發現系統的，及時提出改進的建議，把好系統質量第一關；同時也為審計人員今后對系統的處理和控制功能審計打下基礎。

此外，審計人員可在系統階段根據網絡化審計的特點對系統提出審計方面需求：（1）在系統中建立監控程序（又叫嵌入審計程序），以便計算機能對一些敏感和重要環節實行實時監控，把異常的情況自動記入審計文件，以便審計人員審查。（2）在系統中建立審計子系統，提供審計程序、審計工具和審計檔案庫，以便審計人員進行網上審計。隨著網絡化的，此項審計越來越重要。

2.對計算機信息系統的功能與控制的審計在網絡化條件下，手工條件下的賬賬核對、賬證核對、賬表核對等重要的審計工作在網絡化條件下將失去意義。因為在計算機信息系統中，原始憑證、記賬憑證、各種賬簿、報表等只是系統中的同一個數據庫，甚至是同一個數據表（如記賬憑證表）的數據按不同的方式輸出罷了。這些會計信息的正確與否，首先確定于計算機信息系統功能的正確性，因此有必要對系統的功能進行審計。對系統功能的審計目標包括：（1）審查驗證系統對各項業務處理的合法性、正確性和可追索性。（2）審查系統程序控制功能的恰當性和有效性。因為系統的程序有被篡改而不留痕跡的特點，所以即使系統開發進行過審計，仍有必要對投入使用后的系統功能進行審計。審計人員可以用測試數據法、整體檢測法（ITF）、嵌入審計程序法等對系統功能進行審查。

在網絡化情況下，系統提供的信息的可靠性除決定系統的功能外，還決定于系統的操作和內部控制。沒有健全的內部控制，系統的程序和數據都可能隨時被人篡改。在網絡化條件下，企業的內部控制包括程序化的控制和要求員工執行的管理制度。程序化的控制編寫在系統應用程序中，可在系統功能審計中審查。無論網絡化程度有多高，系統還得由人操作。為確保系統的安全可靠和系統輸出信息的真實正確，必須對企業管理制度的完善性和有效性進行審計。網絡化情況下，系統內部控制的符合性測試要比手工條件下重要得多。

3.開展網上審計網絡經營與網絡財會為開展網上審計提供了前所未有的機遇。審計人員只要把自己的計算機接到網上，并取得被審單位給予的審查權限，就可以在任何地方通過網絡完成除實地盤點和觀察外的大部分審計工作。審計項目負責人可以在網上制定審計計劃，給各審計人員（可以在不同地點）分配審計任務；在網上復核助理人員的工作底稿，并對助理人員給予指示與幫助；隨時了解審計項目進展情況，協調各審計人員的工作；草擬和簽發審計報告。審計人員可以通過網絡審查遠距離外的計算機信息系統功能；調用系統的審計功能或使用審計軟件對系統的磁性與會計信息進行抽樣。審查、核對和分析；使用郵件向被審單位的銀行、客戶和供應商等進行函證；在網上復制有關文件或數據等審計證據、編寫工作底稿等等。若在系統開發時嵌入了審計程序，計算機還可以自動對經濟業務進行實時的監控，自動完成部分審計任務。

因為網上審計的資料與收集的證據大多是以電磁形式存在的，工作底稿改變為電磁化的信息，而且這些證據只能通過計算機使用相應的私鑰或公鑰才能識別。因此在網絡化條件下，這些電磁化的審計檔案可存儲在審計機構的檔案庫中，通過網絡可供主管復核、同業檢查或必要時作為證據。

4.外部網及有關機構的審計電子商務的真實、安全性不僅涉及企業的內部網而且關系到外部網，但外部網不是企業所能完全控制的。為了證實電子商務的真實和安全性，各單位可能都要求審查網上的認證機構、加數字時間戳的機構、網上銀行或電子貨幣發行單位的真實、可靠性，要求評價各種Internet上加密技術、防火墻技術等網絡安全控制措施的有效性。所有這些都由每個單位組織審查和評價是不實際的，也是不必要的。解決電子商務有關單位（如網上認證機構、網上銀行等）的真實、可靠性審計，可以由這些機構聘請信譽和資質都較高的獨立審計機構對這些單位的資格、能力、安全及可靠性進行審計，并出具報告，各有關單位則依賴這些審計報告進行評價。對有關安全保密技術有效性的審查，同樣可由有信譽和技術水平較高的獨立部門或機構對這些技術組織評審和鑒定，并提出評價報告，供用戶。

第8篇：外審員信息安全范文

關鍵詞：宣傳；保密；微信公眾號

“內樹信心，外塑形象”，做好宣傳鼓動，調動和激勵廣大干部職工積極性的發揮、不斷增強單位的知名度和美譽度，歷來是軍工單位宣傳工作的目標。而該項工作在軍工單位跨越發展的大背景下，在日益嚴峻的保密形勢下，顯得尤為重要、緊迫，且富有挑戰性。因此，如何處理好宣傳和保密工作的關系，在嚴峻保密形勢下做好宣傳工作，便成為亟待研究解決的課題。

一、軍工單位宣傳保密工作的嚴峻性

軍工行業新聞宣傳保密工作呈現四大主要特點：一是涉及范圍廣、載體多；二是泄密渠道日趨增多，互聯網、移動互聯網成為主渠道；三是泄密速度快、損失嚴重，危害巨大；四是分寸和時效性難以掌握。

據不完全統計，軍工行業現有上萬種媒體，可以說每時每刻都通過報紙、刊物、互聯網、移動互聯網、圖書、廣播、電視等工具和手段，采取多種形式與社會發生聯系。內容涉及本行業的重大成果、重要活動、軍民結合，涉及武器裝備科研、生產、試驗，涉及軍工科研發展規劃，生產能力、結構、布局、產量等，存在巨大的失泄密隱患。

（一）軍工單位新聞宣傳的特殊性

一是政治性極強，高度敏感，對時機、分寸、頻度等的要求高。沒有哪個行業的新聞工作能與軍工單位相比，稍有不慎就會對國家安全帶來損害，留下隱患或者授人以柄，壓縮我國在國際上的回旋余地，影響國際形象、影響國與國之間關系，影響我技術引進，造成巨大的政治和經濟損失。

二是科技含量高，蘊含的新聞價值極高。軍工單位所從事的往往是尖端技術，代表最新成果、最高水平、未來發展方向，是大國角力、競爭、爭奪科技制高點的重要領域，一經公布就會成為獲取信息、開展研究的重要來源，某些性能特點、技術指標就有可能被人分析掌握。

三是社會關注度高，沖擊力強，國際影響大。由于軍工行業和國家的綜合實力、國際地位、國人的民族感情緊緊聯系在一起，重要信息一經公布就會引起轟動，形成關注熱點，并產生強烈的放大效應，在國際社會產生影響，引發種種解讀和議論。

（二）軍工單位新聞宣傳中泄密的主要原因

一是保密意識不強，敵情觀念淡薄。

二是保密知識不夠，培訓學習不足。

三是執行保密制度松懈，審查把關不嚴。

四是名利思想作怪，法制觀念不強。

我們知道，媒體的特點是追求新鮮刺激的東西，而軍工行業尤其是關于武器裝備科研生產的消息，恰恰具有這種價值。媒體在報道時會主動取悅于大眾，千方百計滿足大眾的心理需求，不爆料就覺得不過癮。新聞價值很大程度上取決于時間，有價值的重要新聞，恰恰在時間上保密要求非常嚴格。因此，如果片面追求新聞價值或轟動效應，稍有疏忽或不慎，就會造成嚴重的泄密、失密。

軍工單位部分宣傳人員對保密缺乏認識，只看到新聞，看不到敵情；只注重新聞的價值和時效性，而忽視了保密和應走的流程；只重視宣傳自己的成績、經驗、效益，而忘卻了其中包含的國家秘密，從而造成了無可挽回的損失。

二、嚴峻保密形勢下做好宣傳工作的對策

（一）正確處理好保密與宣傳的關系

新聞和保密是貫穿于軍工單位新聞宣傳工作中一對相依相存的矛盾?？陀^地講，宣傳工作（特別是對外宣傳）與保密要求之間確實存在一定矛盾：宣傳部門有責任將本單位改革發展的實績和職工拼搏奮進、無私奉獻的精神宣傳出去，在外界樹立良好形象；而保密規則則要求“能不說盡量不說”，甚至“只做不說”。

然而，二者的根本目的又是相同的，都是為了實現單位利益最大化。因此，正確處理好新聞宣傳與信息保密的關系，必須堅持“保放適度”的原則，以最大限度實現本單位安全利益、競爭利益和發展利益為準繩，既要做到該保的堅決保住，不以新聞宣傳為由排斥保密；又要做到該宣傳的宣傳好，不以保密為由阻礙宣傳。

要做到萬無一失，必須執行“六個一”紀律：

建立一套責任體系――嚴格執行“業務誰主管，保密誰負責”的原則，建立逐級審查的保密責任體系，明確各級人員的保密職責。

確定一個保密范圍――按照國家相關要求，嚴禁公開報道涉及我國國防科技工業研制生產的武器裝備性能技術指標，我國國防科研生產能力、結構、布局、產量、發展規劃等內容。

完善一套保密制度――建立健全采訪（含拍攝）、發稿、存檔、銷毀等一系列工作的保密制度文件，做到“有規可依”，控制泄密源頭，管住各個環節。

規范一套審查流程――作者自查、部門領導審查、單位主管領導審批、保密管理部門備案，不能出現任何空缺、代替項，不能推諉，嚴把出口關，不走形式。

堅持一項批準原則――對所有公開的新聞、照片、視頻等，均要堅持“凡事必批”“先審后批”的原則，國家利益高于一切，不能只考慮單位、局部利益，不顧國家利益。

養成一個保密習慣――宣傳人員要靠良好的素質和訓練養成良好習慣，要以“保密就是保生存、保安全、保發展”的態度開

展工作，確保萬無一失。

（二）在保密前提下做好對內宣傳的途徑

軍工單位做好對內宣傳，首先要嚴格按照軍工單位新聞宣傳的報道范圍執行、并嚴格使用各項目的非密代稱；其次，宣傳要多關注項目推進中出現的管理、手段、工具方面的創新做法和超常拼搏的典型事例，避免直接關注技術問題或節點。

具體來講，應重點圍繞以下三方面開展對刃傳：一是企業文化；二是本單位改革發展動態及行業、上級機關相關信息；三是先進典型事跡。在此基礎上，著力提升宣傳報道的針對性和實效性，提升宣傳報道的親切感和接受度，通過“快”、“鮮”、“高”、“深”、“廣”的策略，使新聞宣傳真正真正入耳、入眼、入腦、入心。

三、在嚴峻保密形勢下拓展對外宣傳的方法途徑

軍工單位做好對外宣傳，首先要在不的情況下提升對外投稿的質量和命中率。要認真研究包括中央媒體、地方媒體、行業媒體等在內的不同社會媒體的定位及需求，提前策劃，研判效果，從更高的立意看問題，發掘好材料不同側面的價值意義，采用不同的語言風格及篇幅撰寫稿件，做到有的放矢投稿。

在此過程中需特別注意的是：凡是涉軍型號相關事項的內容、包括可能產生聯想的內容對外一律不報道。對于創先爭優和大干百日等活動涉及軍品的，要嚴格審定文字、圖片、攝影攝像，特別要注重攝影攝像背景的審核，嚴防失泄密。

同時，還要密切關注社會媒體對本單位武器裝備信息的報道，抓好對敏感信息披露造成影響的預警和前期干預，并及時將相關情況上報上級部門。禁止內部媒體跟隨社會媒體炒作武器裝備研制進展，對外部媒體報道的內容要做到不轉載、不評論，避免出現印證性泄密。

軍工單位做好對外宣傳，還要以審慎的態度辦好本單位互聯網網站及微信公眾號。二者是軍工單位進行對外宣傳的重要陣地，是其自身完全可控的平臺。特別是微信公眾號，不僅與當下“移動互聯”的時代特征及大眾碎片化閱讀習慣相吻合，而且包容性極強。因此，軍工單位要適應移動化傳播趨勢，創新文體風格、編排方式和傳播渠道，善用圖文、音視頻、漫畫等形式，推出更多生動形象、鮮活有趣的融媒體產品，切實增強吸引力和感染力，增強其對外宣傳的“到達度”。

四、結束語

在嚴峻保密形勢下，軍工單位既不能麻痹大意、輕率不該的信息；也不能因噎廢食，在宣傳工作、特別是對外宣傳中毫無作為、錯失塑造形象的良機。而應該通過努力，真正做到“把該保的保住，把該說的說好”，積極將軍工單位的最新成就、奉獻精神、領軍人物宣傳出去，唱響“軍工好聲音”，努力讓更多的人了解軍工、理解軍工，為軍工單位發展創造良好的內外部環境。

參考文獻：

[1]杰克?富勒[美].陳莉萍譯.信息時代的新聞價值觀[M].北京：新華出版社，1998.

[2]薩爾坦?科馬里[美].姚坤，何衛紅譯.信息時代的經濟學[M].南京：江蘇人民出版社，2001.

第9篇：外審員信息安全范文

電子數據安全是建立在機安全基礎上的一個子項安全系統，它既是計算機網絡安全概念的一部分，但又和計算機網絡安全緊密相連，從一定意義上講，計算機網絡安全其實質即是電子數據安全。國際標準化組織(ISO)對計算機網絡安全的定義為：“計算機系統有保護計算機系統的硬件、軟件、數據不被偶然或故意地泄露、更改和破壞?！睔W洲幾個國家共同提出的“信息技術安全評級準則”，從保密性、完整性和可用性來衡量計算機安全。對電子數據安全的衡量也可借鑒這三個方面的，保密性是指計算機系統能防止非法泄露電子數據；完整性是指計算機系統能防止非法修改和刪除電子數據；可用性是指計算機系統能防止非法獨占電子數據資源，當用戶需要使用計算機資源時能有資源可用。

二、電子數據安全的性質

電子數據安全包括了廣義安全和狹義安全。狹義安全僅僅是計算機系統對外部威脅的防范，而廣義的安全是計算機系統在保證電子數據不受破壞并在給定的時間和資源內提供保證質量和確定的服務。在電子數據運行在電子商務等以計算機系統作為一個組織業務目標實現的核心部分時，狹義安全固然重要，但需更多地考慮廣義的安全。在廣義安全中，安全涉及到更多的方面，安全問題的性質更為復雜。

(一)電子數據安全的多元性

在計算機網絡系統環境中，風險點和威脅點不是單一的，而存在多元性。這些威脅點包括物理安全、邏輯安全和安全管理三個主要方面。物理安全涉及到關鍵設施、設備的安全和硬件資產存放地點的安全等內容；邏輯安全涉及到訪問控制和電子數據完整性等方面；安全管理包括人員安全管理政策、組織安全管理政策等內容。電子數據安全出現問題可能是其中一個方面出現了漏洞，也可能是其中兩個或是全部出現互相聯系的安全事故。

(二)電子數據安全的動態性

由于信息技術在不斷地更新，電子數據安全問題就具有動態性。因為在今天無關緊要的地方，在明天就可能成為安全系統的隱患；相反，在今天出現問題的地方，在將來就可能已經解決。例如，線路劫持和竊聽的可能性會隨著加密層協議和密鑰技術的廣泛大大降低，而客戶機端由于B0這樣的黑客程序存在，同樣出現了安全需要。安全問題的動態性導致不可能存在一勞永逸的解決方案。

(三)電子數據安全的復雜性

安全的多元性使僅僅采用安全產品來防范難以奏效。例如不可能用一個防火墻將所有的安全問題擋在門外，因為黑客常常利用防火墻的隔離性，持續幾個月在防火墻外試探系統漏洞而未被發覺，并最終攻入系統。另外，攻擊者通常會從不同的方面和角度，例如對物理設施或協議、服務等邏輯方式對系統進行試探，可能繞過系統設置的某些安全措施，尋找到系統漏洞而攻入系統。它涉及到計算機和網絡的硬件、軟件知識，從最底層的計算機物理技術到程序設計內核，可以說無其不包，無所不在，因為攻擊行為可能并不是單個人的，而是掌握不同技術的不同人群在各個方向上展開的行動。同樣道理，在防范這些問題時，也只有掌握了各種入侵技術和手段，才能有效的將各種侵犯拒之門外，這樣就決定了電子數據安全的復雜性。

(四)電子數據安全的安全悖論

，在電子數據安全的實施中，通常主要采用的是安全產品。例如防火墻、加密狗、密鑰等，一個很的問題會被提出：安全產品本身的安全性是如何保證的?這個問題可以遞歸地問下去，這便是安全的悖論。安全產品放置點往往是系統結構的關鍵點，如果安全產品自身的安全性差，將會后患無窮。當然在實際中不可能無限層次地進行產品的安全保證，但一般至少需要兩層保證，即產品開發的安全保證和產品認證的安全保證。

(五)電子數據安全的適度性

由以上可以看出，電子數據不存在l00％的安全。首先由于安全的多元性和動態性，難以找到一個對安全問題實現百分之百的覆蓋；其次由于安全的復雜性，不可能在所有方面應付來自各個方面的威脅；再次，即使找到這樣的方法，一般從資源和成本考慮也不可能接受。目前，業界普遍遵循的概念是所謂的“適度安全準則”，即根據具體情況提出適度的安全目標并加以實現。

三、電子數據安全審計

電子數據安全審計是對每個用戶在計算機系統上的操作做一個完整的記錄，以備用戶違反安全規則的事件發生后，有效地追查責任。電子數據安全審計過程的實現可分成三步：第一步，收集審計事件，產生審記記錄；第二步，根據記錄進行安全違反；第三步，采取處理措施。

電子數據安全審計工作是保障計算機信息安全的重要手段。凡是用戶在計算機系統上的活動、上機下機時間，與計算機信息系統內敏感的數據、資源、文本等安全有關的事件，可隨時記錄在日志文件中，便于發現、調查、分析及事后追查責任，還可以為加強管理措施提供依據。

（一）審計技術

電子數據安全審計技術可分三種：了解系統，驗證處理和處理結果的驗證。

1．了解系統技術

審計人員通過查閱各種文件如程序表、控制流程等來審計。

2．驗證處理技術

這是保證事務能正確執行，控制能在該系統中起作用。該技術一般分為實際測試和性能測試，實現方法主要有：

（1）事務選擇

審計人員根據制訂的審計標準，可以選擇事務的樣板來仔細分析。樣板可以是隨機的，選擇軟件可以掃描一批輸入事務，也可以由操作系統的事務管理部件引用。

（2）測試數據

這種技術是程序測試的擴展，審計人員通過系統動作準備處理的事務。通過某些獨立的，可以預見正確的結果，并與實際結果相比較。用此方法，審計人員必須通過程序檢驗被處理的測試數據。另外，還有綜合測試、事務標志、跟蹤和映射等方法。

（3）并行仿真。審計人員要通過一程序來仿真操作系統的主要功能。當給出實際的和仿真的系統相同數據后，來比較它們的結果。仿真代價較高，借助特定的高級語音可使仿真類似于實際的應用。

（4）驗證處理結果技術

這種技術，審計人員把重點放在數據上，而不是對數據的處理上。這里主要考慮兩個：

一是如何選擇和選取數據。將審計數據收集技術插入應用程序審計模塊（此模塊根據指定的標準收集數據，監視意外事件）；擴展記錄技術為事務（包括面向應用的工具）建立全部的審計跟蹤；借用于日志恢復的備份庫（如當審計跟蹤時，用兩個可比較的備份去檢驗賬目是否相同）；通過審計庫的記錄抽取設施（它允許結合屬性值隨機選擇文件記錄并放在工作文件中，以備以后），利用數據庫管理系統的查詢設施抽取用戶數據。

二是從數據中尋找什么？一旦抽取數據后，審計人員可以檢查控制信息（含檢驗控制總數、故障總數和其他控制信息）；檢查語義完整性約束；檢查與無關源點的數據。

（二）審計范圍

在系統中，審計通常作為一個相對獨立的子系統來實現。審計范圍包括操作系統和各種應用程序。

操作系統審計子系統的主要目標是檢測和判定對系統的滲透及識別誤操作。其基本功能為：審計對象（如用戶、文件操作、操作命令等）的選擇；審計文件的定義與自動轉換；文件系統完整性的定時檢測；審計信息的格式和輸出媒體；逐出系統、報警閥值的設置與選擇；審計日態記錄及其數據的安全保護等。

應用程序審計子系統的重點是針對應用程序的某些操作作為審計對象進行監視和實時記錄并據記錄結果判斷此應用程序是否被修改和安全控制，是否在發揮正確作用；判斷程序和數據是否完整；依靠使用者身份、口令驗證終端保護等辦法控制應用程序的運行。

（三）審計跟蹤

通常審計跟蹤與日志恢復可結合起來使用，但在概念上它們之間是有區別的。主要區別是日志恢復通常不記錄讀操作；但根據需要，日記恢復處理可以很容易地為審計跟蹤提供審計信息。如果將審計功能與告警功能結合起來，就可以在違反安全規則的事件發生時，或在威脅安全的重要操作進行時，及時向安檢員發出告警信息，以便迅速采取相應對策，避免損失擴大。審計記錄應包括以下信息：事件發生的時間和地點；引發事件的用戶；事件的類型；事件成功與否。

審計跟蹤的特點是：對被審計的系統是透明的；支持所有的應用；允許構造事件實際順序；可以有選擇地、動態地開始或停止記錄；記錄的事件一般應包括以下：被審訊的進程、時間、日期、數據庫的操作、事務類型、用戶名、終端號等；可以對單個事件的記錄進行指定。

按照訪問控制類型，審計跟蹤描述一個特定的執行請求，然而，數據庫不限制審計跟蹤的請求。獨立的審計跟蹤更保密，因為審計人員可以限制時間，但代價比較昂貴。

（四）審計的流程

數據安全審計工作的流程是：收集來自內核和核外的事件，根據相應的審計條件，判斷是否是審計事件。對審計事件的內容按日志的模式記錄到審計日志中。當審計事件滿足報警閥的報警值時，則向審計人員發送報警信息并記錄其內容。當事件在一定時間內連續發生，滿足逐出系統閥值，則將引起該事件的用戶逐出系統并記錄其內容。

常用的報警類型有：用于實時報告用戶試探進入系統的登錄失敗報警以及用于實時報告系統中病毒活動情況的病毒報警等。