IT審計專欄（一）－概念篇

      IT審計專欄（一）－概念篇  軟件測試

　　關鍵字：IT審計 概念

　　1 信息化的社會

　　近年來，隨著信息技術的不斷發展，信息系統日漸成為現代社會中不可缺少的“基礎設施”。就在信息系統為人們提供便利，滿足社會服務需求的同時，信息系統自身的結構、功能復雜度越來越高，使得信息系統本身由于復雜度增大導致的系統脆弱性隱患變得越發嚴重。對信息系統進行錯誤操作、濫用、不正當使用導致的社會問題屢見不鮮，給社會帶來了巨大的經濟損失，重者傷及人命。特別是近些年來的網絡化趨勢使得這種影響波及范圍更為擴大，造成了極為惡劣的影響。因此，信息系統的安全性愈來愈為社會所關注。

　　信息系統給社會帶來的危害主要體現在以下幾方面：

　　(1) 致命的功能停止

　　● 由于1993年紐約世界貿易大廈爆炸事件，使得當時入住的多數企業的商業數據如數喪失，導致在企業這一年內的很多商業活動無法進行。(AIXCELLENCE 1995年秋冬號IBM社)

　　在現實生活中，這樣的例子比比皆是。由于停電使醫院信息系統的停止導致手術的病人致死這樣的現象也時有發生。為此，如何給信息系統提供一個安全環境，如何使一個信息系統環境內信息流處處暢通，成為了一個新的課題。

　　(2) 錯誤操作、不正當使用和濫用信息技術

　　● 某都市銀行支店副店長利用聯機終端盜取3億日幣(折合2千多萬人民幣)(1998.1.14 日本經濟新聞)

　　● 1998年發生的CIH病毒，導致全球數百萬臺計算機硬件損壞，導致近百億美元的經濟損失。

　　● 1997.8.1發生在東京證券交易所的系統當機造成了巨大的社會影響和經濟損失。經調查，原因是處理程序在設計時出的一個小問題。(1997.8.15日經BUSINESS)

　　任何技術都是“雙刃劍”，信息系統給社會帶來巨大便利的同時，也往往會被“不法分子”所利用，如何杜絕這類現象，如何防止信息系統因為自身的缺陷給社會蒙受巨大損失，這又是我們面臨的另外一個新課題。

　　此外如何對待信息系統投資也引起人們的逐步關注。不少信息系統建設項目勞民傷財，耗資巨大卻無法為社會提供實際的服務價值，甚至還危害及社會。對于企業來說何嘗不是一筆重大的經濟損失。有例證：1994年，Standish Group對IT行業8400個項目(投資250億美元)的研究結果表明有34%的項目徹底失敗，50%的項目在補救后完成，預算平均超出90%，進度平均超出120%。這些失敗和補救的項目中、不少未經過投資風險評估便匆匆上馬，超成了極大的社會資源浪費，對信息系統投資方面起到了極其惡劣的影響。

　　從上面的事例我們可以看出：應對信息系統的建設我們需要引入一種新的管理機制來對信息系統的安全性、投資效果、實施進程和實施效果等進行評估、指導和改進。這種機制就是我們今天所提到的IT審計(System Audit，又稱IT監查)。

　　2 IT審計的歷史和發展

　　IT審計的出處源自60年代IBM出版的《Audit encounters Electronic Data Processing》等有關在EDI環境下進行審核和組織的論述。不久后有關該方面的研究結果不斷涌現， IT審計的雛形初步形成。但是由于信息系統在社會上尚未得到較為廣泛的應用，因此IT審計并未在社會上形成意識。

　　七十年代中后期到八十年代初由于計算機在發達國家的企業初步普及，利用計算機犯罪和計算機系統失效的事件頻頻出現，使得IT審計日益得到社會重視，美國、日本先后成立了IT審計方面的協會組織。從事對IT審計規則的制定和實施指導。值得注意的是1985年日本政府出臺了《IT審計標準》并根據美國勞工部的《Skill Start》和Northwest Center for Engineering Technologies(NCET)對IT信息人員的從業技能的要求制訂了IT審計師(系統監查員)的技能標準并以之作為新的“IT審計師(系統監查員)”級考試的參考標準。

　　九十年代是IT審計的普及期，這主要歸功于互聯網的普及?；ヂ摼W的普及是利用計算機犯罪的人員溫床，此外日益嚴重的軟件項目失敗問題引發了是否要對信息系統的投資和開發進行審計的深思。IT審計得到了前所未有的重視。

　　3 IT審計的對象、范圍和意義

原文轉自：http://www.anti-gravitydesign.com