1、銀行的IT 內(nèi)部稽核.典型的銀行環(huán)境信托/中介角色 涉及客戶(hù)錢(qián)財(cái)受高度的監(jiān)管信息系統(tǒng)的高運(yùn)用度為和寬廣的客戶(hù)群，買(mǎi)賣(mài)方等進(jìn)展業(yè)務(wù)收務(wù)操作處置.銀行的產(chǎn)品與效力為客戶(hù)提供：存款/提款房屋貸款、汽車(chē)貸款等信譽(yù)卡:運(yùn)用的系統(tǒng)和分銷(xiāo)渠道：現(xiàn)金存款機(jī)，匯款系統(tǒng)，銀行、互聯(lián)網(wǎng)銀行、信譽(yù)卡付帳系統(tǒng).銀行的產(chǎn)業(yè)與效力為企業(yè)客戶(hù)提供：-融資：貸款定期貸款、銀團(tuán)信譽(yù)證、擔(dān)保上市-組合管理和買(mǎi)賣(mài)運(yùn)用的系統(tǒng)貸款/執(zhí)行和追蹤系統(tǒng)-買(mǎi)賣(mài)：前臺(tái)、后臺(tái)和清算系統(tǒng)-投資管理：組合管理系統(tǒng).銀行的信托責(zé)任銀行必需：堅(jiān)持客戶(hù)的隱私確?？蛻?hù)的買(mǎi)賣(mài)的廉政性-維持為客戶(hù)提供的資料和系統(tǒng)的可用性.銀行業(yè)務(wù)潛在的問(wèn)題盜用公款高本錢(qián)或失盈利資

2、產(chǎn)的破壞/損失不可接受的合計(jì)手法不可接受的入帳手法業(yè)務(wù)中斷管理決策錯(cuò)誤法規(guī)競(jìng)爭(zhēng)不利Basel對(duì)操作風(fēng)險(xiǎn)的定義“因缺乏或失敗的內(nèi)部作業(yè)、人員、系統(tǒng)或外部要素而導(dǎo)致的直接/間接損失“.電腦增大操作風(fēng)險(xiǎn)由于：電腦把資料集中于一處人們對(duì)資料的獲得比以前更多錯(cuò)誤添加無(wú)形難追蹤資料容易遭到破壞或改換電腦病毒缺乏對(duì)電腦檢控的認(rèn)識(shí)難以維護(hù)珍貴的資料.電腦化的銀行環(huán)境所帶來(lái)的風(fēng)險(xiǎn)程序能否適當(dāng)程序的改換能否經(jīng)過(guò)測(cè)試、同意及適當(dāng)?shù)谋辉?？未同意改換的能夠性客戶(hù)資料能否會(huì)有未經(jīng)同意改換？一切買(mǎi)賣(mài)能否都被記載？一切買(mǎi)賣(mài)的記載能否不多過(guò)一次？一切記載過(guò)的買(mǎi)賣(mài)能否都準(zhǔn)確？一切記載能否都被入?。?普通的與電腦相關(guān)的不愧手法D

3、ata Diddling:在資料輸入電腦之前/時(shí)作改換Trojan Horse:將無(wú)用的指令輸入主流系統(tǒng)執(zhí)行Logical Bomb:在預(yù)定的時(shí)間內(nèi)對(duì)電腦程序/資料進(jìn)展破壞Impersonation偽裝病毒.過(guò)去三年所盜用的資料和財(cái)務(wù)欺詐Source: Computer Security Institute (CSI)/FBI Survey.在電子銀行和電子錢(qián)幣業(yè)務(wù)中的風(fēng)險(xiǎn)Basel的定義操作風(fēng)險(xiǎn)是因系統(tǒng)的嚴(yán)重缺而導(dǎo)致到虧損的能夠。銀行因系統(tǒng)/產(chǎn)品能夠遭到外/內(nèi)部的攻擊使到監(jiān)控極為重要.如何降低風(fēng)險(xiǎn)適當(dāng)?shù)膬?nèi)部監(jiān)控和風(fēng)險(xiǎn)管理框架.銀行內(nèi)部監(jiān)控的框架五個(gè)大點(diǎn)：控制環(huán)境風(fēng)險(xiǎn)測(cè)試業(yè)務(wù)監(jiān)控訊息和交流監(jiān)視

4、.什么是監(jiān)控監(jiān)控是：政策、作業(yè)/做法及框架以確保在可控制范圍內(nèi)到達(dá)業(yè)務(wù)目的和防止不良事件的發(fā)生.IT環(huán)境中的監(jiān)控可大致分類(lèi)為：運(yùn)用和管理監(jiān)控確保IT的開(kāi)發(fā)、執(zhí)行和操作能如期的，受控制的情況下進(jìn)展預(yù)防、矯正和偵查的監(jiān)控資料在電腦系統(tǒng)中所執(zhí)行的監(jiān)控.運(yùn)用和管理監(jiān)控高層管理在IT活動(dòng)的規(guī)劃和監(jiān)控的責(zé)任系統(tǒng)開(kāi)發(fā)管理日常操作管理運(yùn)用監(jiān)控為維護(hù)資產(chǎn)資料，維持資料的完好性 - 資料處置監(jiān)控- 授權(quán)/同意- 輸入監(jiān)控- 保送監(jiān)控- 操作監(jiān)控- 出品監(jiān)控- 稽核監(jiān)控- 后備和恢復(fù)監(jiān)控.想象應(yīng)有的監(jiān)控 .偽造簽名而拿取現(xiàn)金支票的遺失員工盜用公款員工經(jīng)過(guò)支配付款指令作出不正當(dāng)?shù)母犊钸`法交換客戶(hù)的資料程序員改造工資程

5、序以獲得個(gè)人利益;黑客以大量的信息要求來(lái)充溢網(wǎng)頁(yè)以阻止其他人上網(wǎng).信息系統(tǒng)稽核規(guī)范CoBit (信息和相關(guān)科技的監(jiān)控目的)Control Objectives for Information & Related Technology) :-經(jīng)過(guò)技術(shù)，專(zhuān)業(yè)及法規(guī)規(guī)范來(lái)提高信息系統(tǒng)的監(jiān)控稽核根底;-一個(gè)普通被接受的規(guī)范.CoBit 列出：質(zhì)量要求質(zhì)量本錢(qián)遞送信托要求有效及效益的操作資料的可靠性法規(guī)的根據(jù)監(jiān)控要求嚴(yán)密廉政可用.CoBit 框架.TAKO示范為ISACA開(kāi)發(fā)本來(lái)是為提高公司對(duì)工資信托所應(yīng)有的IT監(jiān)控的認(rèn)識(shí).Comparison of Control ConceptsCOBITSACCO

6、SOSASs 55/78Primary AudienceManagement, users, information system auditorsInternal AuditorsManagementExternal AuditorsIC viewed as aSet of processes including policies, procedures, practices, and organizational structuresSet of processes, subsystems, and peopleProcessProcessIC Objectives organizatio

7、nalEffective & efficient operationsConfidentiality, Integrity and availability of informationReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompliance with laws & regsEffective & efficient operationsReliable financial reportingCompl

8、iance with laws & regsReliable financial reportingEffective & efficient operationsCompliance with laws & regsComponents or DomainsDomains:Planning and organizationAcquisition and implementationDelivery and supportMonitoringComponents:Control EnvironmentManual & AutomatedSystems Control ProceduresCom

9、ponents:Control EnvironmentRisk Management ControlActivities Information & Communication MonitoringComponents:Control Environment RiskAssessment ControlActivities Information & Communication MonitoringFocusInformation TechnologyInformation TechnologyOverall EntityFinancial StatementIC Effectiveness EvaluatedFor a period of timeFor a period of timeAt a point in timeFor a period of timeResponsibility for IC SystemManagementManagementManagementManagementSize187 pages in four documents1193 pages in 12 modules353 pages in four volumes63 pages in two documents.IT 保安要求交通網(wǎng)絡(luò)電子商務(wù)的保安Secu