信息系统审计培训课程-中心

 一、课程背景

根据多年的企业信息安全管理与控制经验，并结合国内知名信息系统审计师、信息系统专业人员，为政府与企业设计了 “信息系统审计实务”培训整体方案，方案考虑到“信息系统审计”对国内企事业单位还是一个新生的事件，特别是信息技术从业人员对此还较为陌生，培训方案从内部审计的概念、原理出发，一步步引入信息系统审计的方法，从理念到实践，从静态到动态，从管理到技术，从组织到制度，覆盖整个组织的IT系统生命周期的风险控制；本课程还将结合国内IT审计特点，从实务的角度介绍现场审计范围、检查手段、报告编写的要点及注意事项。

二、课程目标

讲解如何利用IT最佳实践标准、方法和工具，针对组织的IT系统进行审计，以发现组织IT系统在IT治理、安全、运维、开发及业务连续性等方面存在的技术脆弱性和管理薄弱环节，以适宜的方式向管理当局报告所发现的风险，并对风险进行持续的追踪，不断提高组织的IT风险控制水平。

三、课程内容：

(一)、IT审计基础

1、  IT的风险与控制

2、  IT审计准则与指南

3、  IT审计方法与步骤

4、  IT审计组织架构

5、  信息系统审计师知识体系

6、  CISA认证简介

 (二)、IT审计标准

1、  IT治理框架

2、  COBIT的框架及其审计指南

3、  信息安全管理体系标准ISO27001

4、  IT服务管理标准ISO20000

5、  IT适用的法律法规

6、  各类标准在审计中的使用

(三)、常用的IT审计方法

1、  资料收集

2、  现场访谈

3、  问卷调查

4、  技术检查

5、  风险分析

6、  审计报告编写

(四)、IT审计的内容

1、  对IT治理的审计

l   对IT决策机制的审计

l   对IT与业务融合的审计

l   对IT投资管理的审计

l   对IT规划与架构的审计

2、  对IT基础设施的审计

l   对网络架构与基础设施的审计要点

l   对主机系统的审计要点

l   对数据库系统的安全评估

l   对技术体系的综合审计

3、  对信息安全的审计

l   对信息安全管理体系的审计

l   对物理环境的审计

l   对逻辑安全的审计

l   对网络安全的审计

4、  对应用系统开发的审计

l   对应用系统开发项目的审计

l   对软件开发文档的审计

l   对应用系统开发安全的审计

l   对应用系统的综合审计

5、  对运维保障体系的审计

l   对部件级及任务级运维管理的审计

l   对IT服务管理体系的审计

6、  其他审计

l   对数据管控的审计

l   对应急保障体系的审计

（五）、案例及工具介绍

1、  IT审计案例介绍

2、  IT审计工具的介绍