【信息技术与数据安全】信息系统一般控制审计计划（ITGC）

审计计划书审计项目名称：信息系统一般控制专项审计（ITGC）编制人：审计部XXX编制日期：XXXX年XX月XX日项目编号：SA-2026-021一、审计目标对公司信息系统一般控制（ITGeneralControls）的设计适当性与运行有效性实施独立审计，具体目标如下：逻辑访问控制有效性：确认对应用系统、数据库、操作系统、网络设备的访问权限管理是否遵循“最小授权”和“职责分离”原则，能否有效防范未授权访问和不当操作。变更管理规范性：评价应用系统、数据库及基础架构的变更（含紧急变更）是否遵循规范的申请、开发/配置、测试、审批、迁移上线的全流程控制，防止未授权或不合格的变更进入生产环境。程序开发与系统实施控制：审查新系统开发或现有系统重大改造过程中，是否在需求、设计、开发、测试、数据迁移、切换等阶段实施了适当控制，确保系统上线质量。计算机操作与批处理控制：验证生产系统的日常操作（如批处理作业、备份、数据接口、监控告警等）是否按规程执行，异常事件能否被及时发现和处理，确保业务连续性和数据完整性。物理与环境安全：检查数据中心、核心网络设备间的物理访问控制、环境监控（温湿度、电力、消防）是否充分，能否防范物理入侵和环境事故。灾难恢复与业务连续性：评估灾备策略、应急预案和恢复演练是否满足业务恢复目标（RPO/RTO），能否在重大灾难后保障关键业务的恢复。最终对ITGC的整体控制有效性作出评价，识别控制缺陷，为财务审计、合规审计提供基础支撑，推动IT治理水平提升。二、审计范围范围类型具体界定时间范围控制测试覆盖最近一个完整会计年度（XXXX年X月X日至XXXX年X月X日）及截至审计日的重大变更。对历史遗留的权限、参数配置问题可追溯至以前年度。组织范围信息技术部（含基础架构、应用系统、信息安全、运维、开发等各职能团队），以及拥有IT系统管理权限的关键业务部门用户。业务/系统范围核心财务系统（ERP）、业务运营系统（CRM/SCM等）、数据库管理系统（Oracle/SQLServer等）、操作系统（Windows/Linux/Unix）、网络设备（防火墙/路由器/核心交换机）、虚拟化平台、备份系统、数据中心物理环境。控制领域逻辑访问控制（账号管理、权限配置、特权用户、定期复核）；变更管理（应用变更、基础架构变更、数据库变更、紧急变更）；程序开发与系统实施；计算机操作（批处理作业、备份、监控）；物理与环境安全；灾备与业务连续性。三、审计依据《企业内部控制基本规范》及其应用指引第18号——信息系统。ISO27001信息安全管理体系、COBIT2019、COSO内部控制框架等行业标准。公司内部制度：《IT管理制度》《信息安全管理办法》《系统账号与权限管理制度》《变更管理办法》《系统开发与实施管理办法》《数据备份与恢复管理制度》《灾难恢复与业务连续性计划》《数据中心物理安全管理细则》等。行业监管要求（如适用）：等级保护2.0、SOX法案等。四、审计组构成与时间安排1.审计组成员及分工审计组长：全面负责，审定报告，把控技术风险。IT审计员（2名，具备CISA/CISSP等专业背景）：负责执行各项控制测试，包括权限样本抽取、变更流程穿行测试、操作日志分析、灾备恢复记录审阅等。IT安全专家（辅助）：协助进行渗透测试、漏洞扫描结果的解读，以及安全配置抽样检查。财务审计员（联络人）：协调ITGC测试与财务审计依赖策略，确保ITGC发现能及时传递给财务审计团队评估对报表审计的影响。2.项目时间表（共20个工作日）阶段工作日主要工作内容产出物准备阶段第1-4天下达审计通知及资料清单；获取IT组织架构、制度文件、系统清单、网络拓扑图、账号与权限清单、变更台账、批处理作业清单、灾备计划等；进行初步风险评估，确定关键系统和重点控制领域。资料收取清单、风险与控制矩阵（RCM）、审计重点确认书现场实施第5-17天访谈各系统管理员、安全管理员、开发负责人、运维负责人；抽取样本执行控制测试（权限矩阵审查、变更管理测试、批处理日志审阅、灾备演练记录复核等）；实地察看数据中心物理与环境控制。控制测试工作底稿、样本检查表、访谈记录、现场观察记录报告阶段第18-20天汇总控制缺陷，按严重程度分级；评估对应用控制和财务审计的影响；形成审计发现汇总表；起草审计报告征求意见稿；与CIO及IT相关负责人交换意见；修改定稿后上报审计委员会/CFO。征求意见稿、反馈函、正式审计报告五、风险评估与审计重点ITGC是信息系统运行的基石，其缺陷可能导致应用控制失效、财务数据失真、系统停机等严重后果，审计组将聚焦以下高风险领域：权限管理失控风险：共享账号、弱口令、离职员工账号未及时清理、特权用户过多且无复核，导致越权操作和数据泄露。变更管理不规范风险：程序修改未经充分测试直接上线，或紧急变更绕过正常审批，导致系统运行错误、数据错乱或服务中断。开发与测试环境混用风险：开发人员在测试环境中使用真实生产数据而未脱敏，或在生产环境中直接进行开发和调试。批处理与接口异常风险：关键批处理作业（如账务处理、报表生成）失败未被及时发现和重跑，导致业务数据延迟或错误。备份与恢复失效风险：备份策略未有效执行，备份介质损坏或不可恢复，灾备切换演练走过场，真正灾难时无法恢复业务。物理安全与环境风险：数据中心门禁失控、监控死角、UPS失效、消防设施过期，可能导致设备损坏、数据丢失。第三方与外包风险：为第三方厂商或远程维护人员开放的后台访问权限过大、无有效监控，存在数据泄露或系统破坏隐患。六、具体审计程序程序一：逻辑访问控制审计账号与权限管理员工账号全生命周期：从人力资源部获取入职、转岗、离职名单，抽取样本核对系统中账号的创建、修改、删除是否及时、合规。重点关注离职账号是否在离职当日或规定期限内被禁用或删除。权限配置审查：导出核心财务系统、数据库、操作系统的权限清单。分析是否存在权限过大（如普通用户拥有管理员权限）、职责冲突（如一人同时拥有采购申请与审批权限）等情况。利用ACL（访问控制列表）审阅和权限矩阵进行比对。特权用户与系统管理员：列出所有具有超级用户、root、系统管理员权限的账号，确认其使用仅限于系统维护，日常操作使用普通账号。检查特权账号的密码管理（是否定期更换、是否纳入堡垒机管理、是否共享）。密码策略与认证控制检查密码复杂度、有效期、锁定策略、历史密码记录等系统配置是否符合公司安全策略。现场验证（或查看系统截图）关键系统的密码策略设置。检查是否启用了多因素认证（MFA）用于远程访问和关键系统。定期权限复核获取IT部门或应用管理部门定期（如季度）进行用户权限复核的记录，检查是否有部门负责人签字确认。对长期未使用的账号，检查是否及时禁用或删除。监控与日志检查是否对关键系统开启了登录审计、操作日志。查看日志是否定期审阅，有无审阅记录。抽查异常登录（如多次失败、非工作时段访问）的处理情况。程序二：变更管理审计变更全流程穿行测试从变更管理台账中，按金额和影响大小，分别抽取应用系统变更、数据库变更、网络/安全设备变更的样本（包含常规变更和紧急变更）。逐项检查变更记录：变更申请、影响评估与风险分析、开发/配置、测试报告（含用户验收测试UAT）、回滚方案、变更审批（含变更管理委员会CAB审批）、上线窗口安排、上线后验证。紧急变更控制筛选所有紧急变更，检查其事后是否在规定时间内补充了完整的测试记录和审批流程，有无滥用紧急变更绕过正常控制。变更后评审对重大变更，检查是否进行了上线后评审（Post-ImplementationReview），评估变更是否达到了预期目标，有无引发新问题。职责分离确认变更的发起、开发/配置、测试、审批、部署上线的职责是否有效分离，是否存在同一人完成全流程的情况。检查生产环境与开发环境的访问权限是否严格隔离。程序三：程序开发与系统实施控制审计开发与测试环境隔离现场查验或通过系统配置确认开发、测试、准生产、生产环境是否物理或逻辑隔离。确认开发人员不能直接访问生产环境，测试数据来源于脱敏后的生产数据或不包含真实敏感信息。系统开发生命周期（SDLC）挑选近期上线的1-2个代表性项目，审查其需求规格说明书、设计文档、开发规范、代码审查记录、测试策略与用例、数据迁移方案与演练记录、切换/回退方案、上线审批。评估其是否符合公司SDLC制度。源代码与版本管理检查是否使用版本管理工具（如Git、SVN），代码提交是否强制关联变更单。检查生产环境的可执行代码是否严格从版本库中提取，无人工随意修改。程序四：计算机操作与批处理控制审计批处理作业管理获取所有生产环境的关键批处理作业清单（如日结、月结、数据接口、备份作业等）。检查作业调度系统日志，验证作业是否按时、成功执行。对执行失败的作业，检查是否触发告警，告警是否被及时处理并记录处理结果。检查作业依赖关系和重跑机制是否合理。备份与恢复备份策略：审阅备份策略文档，确认备份频率、保存周期、异地存放等满足RPO要求。备份执行：从备份管理系统中导出近3个月的备份作业记录，确认备份成功率。恢复测试：抽取关键系统，检查最近一次的恢复演练记录。验证演练是否模拟了真实场景（如从裸机恢复、从异地备份恢复），是否达到RTO目标，是否由独立人员（非执行备份的操作员）完成。如有测试失败，追踪改进措施。监控与告警检查是否部署了统一的监控平台，对服务器CPU、内存、磁盘空间、网络流量、关键进程等进行7×24小时监控。查看告警记录，验证告警响应和处理流程。程序五：物理与环境安全审计数据中心实地检查实地察看数据中心/核心机房的门禁系统（刷卡、生物识别）和出入登记记录。检查访客登记和陪同制度执行情况。观察机柜、线缆管理，有无机柜未上锁、强弱电混放等隐患。环境控制检查温湿度监控系统的实时读数和历史告警记录。查看精密空调、新风系统是否冗余配置。检查UPS和备用发电机的巡检记录、带载测试记录，确保在市电中断时能持续供电。检查消防系统（气体灭火、烟感、温感）的定期检测记录，确认灭火钢瓶在有效期内。物理安全监控调取数据中心关键出入口的监控录像，抽查非工作时段录像，确认监控无死角，录像存储周期满足政策要求。程序六：灾备与业务连续性审计BCP/DRP文档审阅：获取《业务连续性计划》和《灾难恢复计划》，评估是否覆盖了所有关键业务和系统，是否明确了RPO和RTO。检查文档是否定期更新（如每年至少一次），并经管理层批准。灾备架构验证：了解并验证关键系统的灾备部署（如异地数据同步、双活数据中心、热备/冷备等），确认其技术架构与DRP中描述一致。演练记录与效果评价：检查过去1-2年内的灾备演练计划、演练方案、过程记录和总结报告。识别演练中发现的问题，是否已闭环整改。若从未进行过综合演练，或关键系统从未成功恢复，列为重大缺陷。人员与沟通：确认关键岗位的备份人选，检查紧急联络清单是否保持最新。验证应急通知流程是否畅通。程序七：关键人员访谈访谈IT负责人/CIO：了解IT治理整体架构、对ITGC的重视程度、资源投入和近期重大IT风险事件。访谈信息安全经理：了解安全策略、权限管理、漏洞管理、安全事件的发现与处置流程。访谈系统管理员/数据库管理员：了解日常运维、账号管理、变更执行、备份恢复操作等具体作业方式。访谈应用系统负责人：了解应用层面的控制（如输入校验、接口控制）对ITGC的依赖，以及过往遇到的系统问题。七、审计报告要求报告应聚焦控制环境健康度，为管理层和外部审计提供明确信号，至少包含：审计概况：审计范围、所覆盖的系统和控制领域、测试方法及总体实施情况。ITGC整体有效性评价：对各控制领域（访问、变更、操作、开发、物理安全、灾备）分别评级（有效、基本有效、不足、无效），并给出综合评级。审计发现与风险评级：按控制领域逐项列示控制缺陷，说明缺陷性质（设计缺陷/运行失效）、影响范围、涉及系统。对每项缺陷进行风险评级（高/中/低），采用标准定义（如：高——可能导致重大财务错报或严重业务中断）。关联到可能受影响的应用控制或财务科目。对其他审计的依赖影响：如本次ITGC审计是为财务审计提供基础，须明确说明各缺陷对财务审计策略（如控制依赖可否维持）的影响。审计建议：针对每个重大缺陷和重要缺陷，提出具体、可操作的整改建议，并明确建议的责任部门和整改时限。八、其他注意事项最小化业务影响：在权限提取、日志导出、恢复测试验证等环节，采用只读方式，避免影响生产系统性能和稳定。涉及灾备切换的验证，仅查阅历史记录，不主动触发切换。高度保密与数据安全：审计组接触到的系统配置、网络拓扑、密码策略、日志数据等均为高度敏感信息，须签署专项保密协议。所有审计资料存储在加密设备中，审计结束后按规定销毁或归档。技术工具的配合：广泛使用GRC（治理、风险与合规）工具、ACL分析工具、日志分