基層央行信息安全審計難點及對策

邱成章

隨著信息化的迅速發(fā)展，基層央行已全面實現(xiàn)了辦公自動化、業(yè)務信息化、數據處理集中化，加強信息安全管理，開展信息安全專項審計成為央行內部審計的一項重要內容，但基于目前基層央行內部審計現(xiàn)狀，信息安全審計還存在諸多難點，在一定程度上影響了基層央行內審工作成效。

一、開展基層央行信息安全審計的難點

1.信息系統(tǒng)運行環(huán)境復雜。一是隨著央行電子化業(yè)務快速發(fā)展，基層央行科技工作量越來越大，目前絕大多數行人均已超過了一臺電腦，所使用的各種業(yè)務信息系統(tǒng)達三、四十個以上，且軟件系統(tǒng)頻繁升級，各種“補丁”不斷。二是目前基層央行使用的各業(yè)務系統(tǒng)有總行統(tǒng)一開發(fā)，也有自主開發(fā)的，由于各業(yè)務系統(tǒng)開發(fā)環(huán)境不一致，涉及操作系統(tǒng)、數據庫多，增加了運行維護難度，并且部分設備老化嚴重，存在一定風險隱患。基層行科技人員除要辦理自身業(yè)務工作外，還負責各部門系統(tǒng)安裝和升級、日常管理及維護、網絡安全、病毒防范、安全培訓等，使得信息安全檢查、系統(tǒng)風險評估工作較難有效開展，客觀上就給基層央行信息安全內部審計帶來了一定的難點。

2.部門業(yè)務系統(tǒng)難以適應信息安全審計需要。基層央行所使用的業(yè)務系統(tǒng)幾乎都沒有預置審計接口和審計用戶，連簡單的數據查詢都需要通過被審計對象提取，同時由于信息量大，再加上內審部門缺乏相應的技術審計手段與審計力量，用有限的人工方法查找海量的電子化信息，不僅效率低，而且要想篩選出有價值的線索如同“大海撈針”。

3.信息安全審計技術落后。央行內部審計在信息安全審計方面除合規(guī)性審計外，還對信息系統(tǒng)、網絡安全、機房環(huán)境開展風險導向性的事前審計，但由于基層央行現(xiàn)有審計技術的局限性，大多數內審人員對信息安全管理知識了解較少，開展審計時邊學邊審，導致審計證據較難獲取，難以充分發(fā)揮信息系統(tǒng)審計的真正作用，大大影響了審計效果。另外，由于內審部門和人員不能及時介入系統(tǒng)的研發(fā)、推廣、培訓，導致對系統(tǒng)了解較少，再加上大部分系統(tǒng)都由總行開發(fā)，基層央行難以獨立開展高質量的信息系統(tǒng)審計項目，從而制約了信息安全審計開展的深度和廣度。

4.信息安全審計力量薄弱。目前基層央行審計人員數量和知識結構遠遠不能滿足信息安全審計的要求，能熟練掌握計算機專業(yè)知識及業(yè)務知識的人員偏少，僅停留在簡單的機械式的運用層面，更深層次的數據篩選、數據分析、函數計算、數據統(tǒng)計和圖形分析應用不多，大多內審人員對信息安全審計的特點、方法和存在的風險缺乏深入了解和掌握，無法有效地開展相關審計工作。

二、加強基層央行信息安全審計的對策

1.建立央行信息系統(tǒng)審計標準與規(guī)范。結合央行實際，確立央行信息系統(tǒng)審計標準與規(guī)范，進一步明確信息安全審計的技術角色，強化信息系統(tǒng)審計的技術特色。同時，推廣先進的審計技術，建立科學的信息安全審計模式。

2.提高計算機輔助審計軟件的實用性、針對性。一是各業(yè)務部門在業(yè)務系統(tǒng)建設開發(fā)中要針對不同的審計需求，預留審計訪問接口，注意把握好數據轉出分析模塊的設計思路，使審計中獲取的電子數據可以作為審計證據使用，以降低審計風險。二是內審部門要介入業(yè)務處理系統(tǒng)開發(fā)、應用及相關制約機制設立的全過程，對系統(tǒng)業(yè)務處理的合法合規(guī)性、安全可靠性、可維護性、可審計性及制約機制的完善性進行分析、評價，盡可能地提高系統(tǒng)效率，降低風險。

3.強化科技管理。一是以針對性和時效性、便于操作為出發(fā)點，建立健全各項科技管理制度，做到有章可循。二是重視科技實體建設，科學合理投入資金，保證硬件設施安全。三是加強科技力量，充實科技人員，將科技管理與維護崗位分離，實現(xiàn)崗位互相約束、監(jiān)督，強化信息安全檢查、系統(tǒng)風險評估等工作。四是加大信息安全培訓力度。通過組織開展崗位業(yè)務技能訓練和業(yè)務達標活動，提升全員的整體科技素質、計算機安全意識和業(yè)務技術操作水平，逐步消除對科技人員的過分依賴。

4.改變傳統(tǒng)審計方法。由上級行集中研發(fā)、業(yè)務及審計部門力量，統(tǒng)一制定資源管理、軟件程序、數據完整性及系統(tǒng)維護等審計模型，開發(fā)信息安全審計系統(tǒng)，對網絡安全、運行環(huán)境審計等各類風險因素進行評估，量化確定各類風險的大小，提高審計效率。

5.培養(yǎng)信息安全審計專業(yè)人才。一是整合人力資源，將審計業(yè)務、央行業(yè)務和計算機專業(yè)知識嫻熟的復合型人才充實到內審隊伍，調整知識和專業(yè)結構。二是加大對現(xiàn)有審計人員信息技術的培訓力度，利用互聯(lián)網的便利性實施網上培訓，輔之以崗位練兵、以查代訓、自學等方式，讓內審人員及時掌握央行各類信息系統(tǒng)發(fā)展的趨勢和信息風險的一般規(guī)律，使信息技術真正成為基層央行實施業(yè)務監(jiān)督和風險控制的有力工具。三是做好現(xiàn)有審計系統(tǒng)的普及工作，使內審人員人人會操作，個個會應用，提高內審工作效率。

（作者單位：人民銀

行贛州市中心支行）