[发明专利]信息系统的审计方法及系统

权利要求书

1.一种信息系统的审计方法，其特征在于，所述方法包括如下步骤：

调查分析步骤，确定评估审计对象的范围及业务运行情况；

风险评估步骤，依据所述评估审计对象的范围及业务运行情况，进行信息系统的风险评估，获取第一评估结果；

控制与审计框架定制步骤，依据所述第一评估结果，定制控制与审计框架；同时生成控制措施集合，依据所述控制措施集合，评估信息系统是否规避风险，获取第二评估结果；

审计引擎的部署步骤，依据定制的所述控制与审计框架，确定审计引擎的部署方案；

审计策略制定步骤，根据所述审计引擎的部署方案、所述第一评估结果和第二评估结果，为信息系统制定持续监控的审计策略；

评估与度量步骤，依据所述审计策略，对信息系统进行审计；获取并分析数据，验证信息系统的风险是否被有效控制，控制措施是否满足控制目标；依据评估指标，给出信息系统控制与审计的综合评估结论。

2.根据权利要求1所述的审计方法，其特征在于，

该方法基于知识库，所述知识库包括信息系统分析评估知识库、信息系统风险评估知识库和控制与审计框架知识库；

其中，所述调查分析步骤基于所述信息系统分析评估知识库；所述风险评估步骤基于所述信息系统风险评估知识库；所述控制与审计框架定制步骤、审计引擎的部署步骤、审计策略制定步骤和所述评估与度量步骤基于所述控制与审计框架知识库。

3.根据权利要求2所述的审计方法，其特征在于，所述控制与审计框架定制步骤中，所述控制与审计框架的制定包括：

确定通过信息系统达成的企业战略目标的步骤；

确定信息系统满足支撑的业务目标的步骤；

确定依据战略目标和业务目标，信息系统所需达成的控制目标的步骤；

确定依据现有条件对信息系统的识别出控制措施及评估控制措施有效性的结论的步骤；

确定依据风险评估及控制措施评估的结论，为信息系统的持续监控审计制定审计策略，获取并分析数据验证信息系统风险是否被有效控制，控制措施是否满足控制目标的步骤；

确定对信息系统所需满足的战略目标和业务目标进行效果度量分析，给出信息系统控制与审计的综合评估结论的步骤。

4.根据权利要求3所述的审计方法，其特征在于，

所述审计引擎的部署步骤中，基于旁路方式和审计代理方式相结合的方式部署审计引擎。

5.根据权利要求4所述的审计方法，其特征在于，所述审计策略制定步骤进一步为：

将风险评估结果和控制措施评估结果转化为监控与审计策略；

将转化后的策略发布到部署的审计引擎；

审计引擎依据审计监控策略进行持续监控；如发现违背策略的事件，审计引擎将产生报警，并标识事件的影响程度；

在预定周期后，依据控制与审计框架的要求给出综合分析结论，为控制效果的评估提供输入数据。

6.根据权利要求5所述的审计方法，其特征在于，

所述评估与度量步骤中，所述评估指标分成战略目标、业务目标、控制目标三级结构；战略目标由一个或多个业务目标组成，业务目标由一个或多个控制目标组成，控制目标由七元组组成，包括有效性、效率、机密性、完整性、可用性、一致性和可靠性；

所述综合评估结论通过如下方式确定：依据战略目标、业务目标、控制目标三级结构进行逐级计算、由下至上汇总分析；被评估信息系统的度量结论包含：战略目标符合度分值、业务目标符合度分值以及控制目标符合度分值三项结果。