企業(yè)IT管理必備 數(shù)據(jù)庫審計基礎(chǔ)介紹
隨著信息化的深入和普及,各行各業(yè)對信息系統(tǒng)的依賴性越來越強(qiáng),信息系統(tǒng)中的數(shù)據(jù)也逐漸成為了企業(yè)的生命。數(shù)據(jù)的不準(zhǔn)確、不真實、不一致、重復(fù)雜亂等就會影響企業(yè)的健康。于是數(shù)據(jù)審計登上了歷史舞臺,數(shù)據(jù)是由
隨著信息化的深入和普及,各行各業(yè)對信息系統(tǒng)的依賴性越來越強(qiáng),信息系統(tǒng)中的數(shù)據(jù)也逐漸成為了企業(yè)的生命。數(shù)據(jù)的不準(zhǔn)確、不真實、不一致、重復(fù)雜亂等就會影響企業(yè)的健康。于是數(shù)據(jù)審計登上了歷史舞臺,數(shù)據(jù)是由信息系統(tǒng)中的數(shù)據(jù)庫進(jìn)行生成、保存和管理。
一、幾個概念
1、什么是審計:信息系統(tǒng)審計來源于傳統(tǒng)的財務(wù)審計,因此審計是獨立于被審計單位的機(jī)構(gòu)和人員,對被審計單位的財政、財務(wù)收支及其有關(guān)的經(jīng)濟(jì)活動的真實、合法和效益進(jìn)行檢查、評價、公證的一種監(jiān)督活動。
2、什么是信息系統(tǒng)審計:信息系統(tǒng)審計又叫IT審計,也稱IT監(jiān)查,是獨立于信息系統(tǒng)本身、信息系統(tǒng)相關(guān)開發(fā)、使用人員的第三方-IT審計師采用客觀的標(biāo)準(zhǔn)對信息系統(tǒng)的策劃、開發(fā)、使用維護(hù)等相關(guān)活動和產(chǎn)物進(jìn)行完整地、有效地檢查和評估。
3、什么是數(shù)據(jù)庫:數(shù)據(jù)庫(Database)是按照數(shù)據(jù)結(jié)構(gòu)來組織、存儲和管理數(shù)據(jù)的倉庫。一般是由數(shù)據(jù)庫管理軟件來實現(xiàn)的,比如常見的數(shù)據(jù)庫管理軟件有Oracle、MySQL、Microsoft SQL Sever、DB2、Sybase等。
4、什么是數(shù)據(jù)庫審計:數(shù)據(jù)庫審計至今并沒有一個非常標(biāo)準(zhǔn)公開的定義,通常我們可以理解為針對數(shù)據(jù)庫所執(zhí)行的為達(dá)到審計目標(biāo)的一系列檢查、分析和測試活動。
二、數(shù)據(jù)庫審計的目的
從大的方面講,現(xiàn)在數(shù)據(jù)庫審計的目的主要有兩個,一個目的是合規(guī),第二個目的是避免或減少風(fēng)險。
出于合規(guī)目的的審計,比如需要滿足薩班斯要求的海外上市公司,每年都要隨著信息系統(tǒng)審計一起對數(shù)據(jù)庫執(zhí)行審計。并為財務(wù)出具證實其財務(wù)數(shù)據(jù)是真實準(zhǔn)確的報告,并附在財務(wù)審計報告中。另外在香港上市的公司也會有相關(guān)要求,對信息系統(tǒng)中的數(shù)據(jù)進(jìn)行驗證。
第二種就是出于自身避免或減少風(fēng)險的目的執(zhí)行審計。常見的風(fēng)險主要來自于以下幾個方面:第一個就是如數(shù)據(jù)的不真實、不準(zhǔn)確、不一致等等,我們可以稱之為數(shù)據(jù)風(fēng)險,它對財務(wù)數(shù)據(jù)、生產(chǎn)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等的真實性、準(zhǔn)確性產(chǎn)生影響,最終影響企業(yè)的聲譽和經(jīng)營決策。第二種就是數(shù)據(jù)庫本身的中斷、死機(jī)、中病毒等,我們可以稱之為數(shù)據(jù)庫風(fēng)險,它對業(yè)務(wù)、生產(chǎn)效率產(chǎn)生影響。第三種是利用數(shù)據(jù)庫的權(quán)限職責(zé)執(zhí)行舞弊、違規(guī)等操作,給企業(yè)帶來某些財務(wù)損失的影響,我們稱為違規(guī)風(fēng)險,比如法國興業(yè)銀行倒閉案,就是交易員隱瞞了對交易數(shù)據(jù)的操作引發(fā),與第一種目的不同之處,在于這種合規(guī)還包括了對公司規(guī)定的合規(guī)。通過實施數(shù)據(jù)庫審計可以提前發(fā)現(xiàn)上述風(fēng)險并采取必要的措施,將損失降低到最小或者避免損失發(fā)生。
比較常見的信息系統(tǒng)審計,是基于數(shù)據(jù)安全需要的審計,涵蓋在基于風(fēng)險的審計當(dāng)中。
現(xiàn)在也有客戶提出了一些比較新的審計需求,比如數(shù)據(jù)一致性審計、數(shù)據(jù)有效性審計等。
三、數(shù)據(jù)庫審計方法
針對審計目的的不同,有多種審計方法可以使用:
日志分析:通過分析數(shù)據(jù)庫系統(tǒng)業(yè)務(wù)數(shù)據(jù)交易、操作日志,可以發(fā)現(xiàn)違規(guī)風(fēng)險;通過分析數(shù)據(jù)庫系統(tǒng)自身的系統(tǒng)日志、事件日志、巡檢日志可以提前發(fā)現(xiàn)病毒、黑客攻擊、系統(tǒng)故障等數(shù)據(jù)庫風(fēng)險。
風(fēng)險分析:風(fēng)險分析是比較通用、廣泛的一種分析方法,涵蓋了日志分析方法。主要是通過一套風(fēng)險分析理論方法,比較全面的分析數(shù)據(jù)庫管理、技術(shù)方面存在哪些風(fēng)險,并針對與這些風(fēng)險進(jìn)行審計。
數(shù)據(jù)核對:也叫數(shù)據(jù)驗證,主要是針對數(shù)據(jù)風(fēng)險而言的,采用的方法也比較多,如重新計算、倒推法、比對法、程序分析、重新執(zhí)行等,這是比較耗時、耗力的方法。比較少的單位采取這種方法,但是這是非常有價值的方法。因為數(shù)據(jù)庫最終是為數(shù)據(jù)服務(wù)的,數(shù)據(jù)不準(zhǔn)、有問題只有兩種情況下才能知道,驗算之后或者使用過程中。
數(shù)據(jù)流分析:該分析方法通過利用數(shù)據(jù)的數(shù)據(jù)的生命周期,從數(shù)據(jù)的需求分析、創(chuàng)建、審批、變更、權(quán)限分配、更新、刪除、流轉(zhuǎn)等,分析數(shù)據(jù)存在的風(fēng)險,驗證數(shù)據(jù)控制措施的有效。
測試:通過設(shè)置關(guān)鍵測試點,驗證數(shù)據(jù)庫對數(shù)據(jù)的管理過程是否有效,是否得到必要的控制。常見的測試方法有有效性測試、實質(zhì)性測試、穿行測試等。
數(shù)據(jù)庫審計的方法很多,也有很多是借鑒了其它專業(yè)的方法,同時這些方法之間有些也有重疊的內(nèi)容。具體的審計方法要根據(jù)具體的審計需求確定。
四、審計工具
除了我們可以采用手工的方法執(zhí)行數(shù)據(jù)庫審計外,我們也可以借助一些工具提高審計效率。
市面上常見的數(shù)據(jù)庫審計工具都是針對與數(shù)據(jù)操作行為、數(shù)據(jù)庫管理行為、安全的審計工具,主要的品牌有漢邦、復(fù)旦光華、國都興業(yè)、三零鷹眼、帕拉迪、啟明星辰、綠盟、思福迪、網(wǎng)御神州等。這些產(chǎn)品主要功能有:
· 支持Ms SQL、Oracle、DB2、Sybase、MySQL等主流的數(shù)據(jù)庫管理系統(tǒng);
· 支持對標(biāo)準(zhǔn)SQL語句的審計;
· 可以審計登陸的用戶、源IP、目的IP,更深入的可以記錄用戶的操作等;
· 支持語句和內(nèi)容的還原;
· 支持?jǐn)?shù)據(jù)庫流量的統(tǒng)計、超限報警等功能;
· 可以根據(jù)預(yù)定規(guī)則阻斷SQL語句的數(shù)據(jù)墻功能;
· 安裝方式有橋接、旁路、網(wǎng)關(guān)模式,有些可以安裝主機(jī)代理(Agent),實現(xiàn)對主機(jī)數(shù)據(jù)的審計;
· 都具備直觀、簡潔的報表生成功能。
通過上述的功能描述,我們不難看出,這些工具只實現(xiàn)了數(shù)據(jù)庫審計的部分功能,而像ACL、IDEA等這樣專業(yè)的財務(wù)審計工具又無法滿足信息系統(tǒng)審計的需要,因此很長一段時間是需要財務(wù)審計工具、數(shù)據(jù)庫審計工具和手工審計才能完成一個比較全面數(shù)據(jù)庫審計項目。
五、小結(jié)
數(shù)據(jù)庫審計對于審計行業(yè)來說,還是比較新的審計需求,而且不同的廠家、不同的事務(wù)所、不同的客戶對數(shù)據(jù)庫審計的認(rèn)知也是多種多樣,存在一定的分歧,無論如何,至少客戶開始認(rèn)識到數(shù)據(jù)庫審計的價值了,這是一個非常好的現(xiàn)象。
免責(zé)聲明:本文僅代表作者個人觀點,與本站無關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實,對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾,請讀者僅作參考,并請自行核實相關(guān)內(nèi)容。
我要收藏
個贊
-
電動車產(chǎn)業(yè)紅利不好接?看看這四條缺了什么?
-
樂視網(wǎng)復(fù)牌首日即跌停 FF、Lucid、樂視汽車要被轉(zhuǎn)讓抵債?
-
科技部發(fā)布國家重點實驗室2018年度評估工作的通知 多項電力研究實驗室入圍
-
科技部發(fā)布國家重點實驗室2018年度評估工作的通知 多項電力研究實驗室入圍
-
2017年中國新能源重點細(xì)分行業(yè)發(fā)展現(xiàn)狀、新能源行業(yè)發(fā)展趨勢及投資前景分析【圖】
-
電力轉(zhuǎn)型是推動能源轉(zhuǎn)型的關(guān)鍵
-
湖北2017年電力運行情況:直接交易完成簽約電量351.44億千瓦時
-
河南12月全社會用電量275.86億千瓦時 同比增長0.77%
-
成交電量923億!河南年度雙邊協(xié)商交易競爭刷新紀(jì)錄 實現(xiàn)開門紅
-
微網(wǎng)工程設(shè)計解析:并網(wǎng)型微電網(wǎng)建設(shè)規(guī)模分析
-
全面解析微電網(wǎng)結(jié)構(gòu)與發(fā)展趨勢(附五大案例與經(jīng)濟(jì)效益分析)
-
售電必備 | 聚焦2018年增量配電網(wǎng)的六大熱點問題
-
安徽電力直接交易執(zhí)行、出清細(xì)則和電力市場電量結(jié)算規(guī)則發(fā)布
-
電網(wǎng)經(jīng)營行業(yè)產(chǎn)品成本核算制度印發(fā):有配電業(yè)務(wù)的售電公司參照執(zhí)行
-
遼寧對居民電采暖用戶試行峰谷分時電價政策
-
預(yù)計南方五省區(qū)2018年用電保持中速增長:南方電網(wǎng)將多措并舉 全力保障電力供應(yīng)平穩(wěn)有序
-
財政部發(fā)布:電網(wǎng)經(jīng)營行業(yè)產(chǎn)品成本核算制度
-
聚焦:貴州電力市場陷入僵局 大云網(wǎng)電力分析師邀您觀望