基層央行信息安全審計難點及對策

邱成章

隨著信息化的迅速發展，基層央行已全面實現了辦公自動化、業務信息化、數據處理集中化，加強信息安全管理，開展信息安全專項審計成為央行內部審計的一項重要內容，但基于目前基層央行內部審計現狀，信息安全審計還存在諸多難點，在一定程度上影響了基層央行內審工作成效。

一、開展基層央行信息安全審計的難點

1.信息系統運行環境復雜。一是隨著央行電子化業務快速發展，基層央行科技工作量越來越大，目前絕大多數行人均已超過了一臺電腦，所使用的各種業務信息系統達三、四十個以上，且軟件系統頻繁升級，各種“補丁”不斷。二是目前基層央行使用的各業務系統有總行統一開發，也有自主開發的，由于各業務系統開發環境不一致，涉及操作系統、數據庫多，增加了運行維護難度，并且部分設備老化嚴重，存在一定風險隱患。基層行科技人員除要辦理自身業務工作外，還負責各部門系統安裝和升級、日常管理及維護、網絡安全、病毒防范、安全培訓等，使得信息安全檢查、系統風險評估工作較難有效開展，客觀上就給基層央行信息安全內部審計帶來了一定的難點。

2.部門業務系統難以適應信息安全審計需要。基層央行所使用的業務系統幾乎都沒有預置審計接口和審計用戶，連簡單的數據查詢都需要通過被審計對象提取，同時由于信息量大，再加上內審部門缺乏相應的技術審計手段與審計力量，用有限的人工方法查找海量的電子化信息，不僅效率低，而且要想篩選出有價值的線索如同“大海撈針”。

3.信息安全審計技術落后。央行內部審計在信息安全審計方面除合規性審計外，還對信息系統、網絡安全、機房環境開展風險導向性的事前審計，但由于基層央行現有審計技術的局限性，大多數內審人員對信息安全管理知識了解較少，開展審計時邊學邊審，導致審計證據較難獲取，難以充分發揮信息系統審計的真正作用，大大影響了審計效果。另外，由于內審部門和人員不能及時介入系統的研發、推廣、培訓，導致對系統了解較少，再加上大部分系統都由總行開發，基層央行難以獨立開展高質量的信息系統審計項目，從而制約了信息安全審計開展的深度和廣度。

4.信息安全審計力量薄弱。目前基層央行審計人員數量和知識結構遠遠不能滿足信息安全審計的要求，能熟練掌握計算機專業知識及業務知識的人員偏少，僅停留在簡單的機械式的運用層面，更深層次的數據篩選、數據分析、函數計算、數據統計和圖形分析應用不多，大多內審人員對信息安全審計的特點、方法和存在的風險缺乏深入了解和掌握，無法有效地開展相關審計工作。

二、加強基層央行信息安全審計的對策

1.建立央行信息系統審計標準與規范。結合央行實際，確立央行信息系統審計標準與規范，進一步明確信息安全審計的技術角色，強化信息系統審計的技術特色。同時，推廣先進的審計技術，建立科學的信息安全審計模式。

2.提高計算機輔助審計軟件的實用性、針對性。一是各業務部門在業務系統建設開發中要針對不同的審計需求，預留審計訪問接口，注意把握好數據轉出分析模塊的設計思路，使審計中獲取的電子數據可以作為審計證據使用，以降低審計風險。二是內審部門要介入業務處理系統開發、應用及相關制約機制設立的全過程，對系統業務處理的合法合規性、安全可靠性、可維護性、可審計性及制約機制的完善性進行分析、評價，盡可能地提高系統效率，降低風險。

3.強化科技管理。一是以針對性和時效性、便于操作為出發點，建立健全各項科技管理制度，做到有章可循。二是重視科技實體建設，科學合理投入資金，保證硬件設施安全。三是加強科技力量，充實科技人員，將科技管理與維護崗位分離，實現崗位互相約束、監督，強化信息安全檢查、系統風險評估等工作。四是加大信息安全培訓力度。通過組織開展崗位業務技能訓練和業務達標活動，提升全員的整體科技素質、計算機安全意識和業務技術操作水平，逐步消除對科技人員的過分依賴。

4.改變傳統審計方法。由上級行集中研發、業務及審計部門力量，統一制定資源管理、軟件程序、數據完整性及系統維護等審計模型，開發信息安全審計系統，對網絡安全、運行環境審計等各類風險因素進行評估，量化確定各類風險的大小，提高審計效率。

5.培養信息安全審計專業人才。一是整合人力資源，將審計業務、央行業務和計算機專業知識嫻熟的復合型人才充實到內審隊伍，調整知識和專業結構。二是加大對現有審計人員信息技術的培訓力度，利用互聯網的便利性實施網上培訓，輔之以崗位練兵、以查代訓、自學等方式，讓內審人員及時掌握央行各類信息系統發展的趨勢和信息風險的一般規律，使信息技術真正成為基層央行實施業務監督和風險控制的有力工具。三是做好現有審計系統的普及工作，使內審人員人人會操作，個個會應用，提高內審工作效率。

（作者單位：人民銀

行贛州市中心支行）