2025年IT审计笔试真题（网友回忆版）及答案解析

2025年IT审计笔试真题（网友回忆版）及答案解析一、单项选择题（每题2分，共20分）1.在IT审计中，"一般控制"（GeneralControls）主要关注的是：A.具体业务交易的处理准确性B.应用系统内部的数据校验逻辑C.IT环境、系统开发、变更管理及访问控制等基础性控制D.财务报表的最终披露金额答案C解析一般控制是IT控制环境的基础，包括逻辑访问控制、变更管理、系统开发生命周期控制、数据中心与网络运行控制等。应用控制则关注具体交易处理的完整性、准确性和有效性。2.以下哪项是信息系统审计师评估"职责分离"是否有效的最直接方法？A.访谈系统管理员B.检查访问控制列表（ACL）及用户权限配置C.审阅信息安全政策D.观察机房物理环境答案B解析职责分离的关键在于权限配置。检查ACL和用户权限配置可以验证是否有人同时拥有相互冲突的权限，如既能发起交易又能审批交易。3.关于CAATs（计算机辅助审计技术），下列描述正确的是：A.CAATs仅用于数据量较小的审计项目B.CAATs不能用于执行实质性测试C.CAATs可以用于数据分析、异常检测和符合性测试D.CAATs只能由被审计单位IT人员操作答案C解析CAATs是审计人员利用计算机技术开展审计工作的重要工具，可用于数据提取、分析、异常识别、实质性测试及控制符合性测试等多种场景。4.某企业在云环境中部署核心业务系统，IT审计师在评估该部署的风险时，最应优先关注：A.云服务商的品牌知名度B.数据存储位置、数据主权及云服务商的合规认证C.云服务商的数据中心数量D.云服务商的广告投放量答案B解析云环境下的核心风险包括数据安全、数据主权、跨境传输合规、服务商的安全能力与认证等。品牌和广告投放量不属于审计重点关注事项。5.IT审计中，"审计轨迹"（AuditTrail）的主要作用是：A.替代财务报表审计B.记录系统活动，支持事后追溯与责任认定C.提高系统运行速度D.减少硬盘存储空间消耗答案B解析审计轨迹记录关键系统活动和用户操作，如登录、数据修改、配置变更等，能够为审计调查、安全事件追溯和责任认定提供证据。6.下列哪项属于"应用控制"而非"一般控制"？A.用户账号的定期复核B.系统上线前的测试与验收C.采购系统中采购金额超过10万元需自动触发审批流D.数据中心门禁系统答案C解析应用控制嵌入在具体业务应用系统中，包括输入控制、处理控制和输出控制。采购审批流属于业务流程内的自动控制，而账号复核、系统测试和门禁均属于一般控制。7.依据ISO/IEC27001标准，信息安全管理的核心三要素是：A.效率、成本、质量B.机密性、完整性、可用性C.开发、测试、运维D.计划、执行、检查、处理答案B解析信息安全的基本属性是机密性（Confidentiality）、完整性（Integrity）和可用性（Availability），即CIA三元组。8.在IT审计中，关于"抽样"的正确理解是：A.样本量越大，审计结论一定越准确B.可以完全依赖抽样结果而无需专业判断C.抽样方法和样本量的确定应考虑审计目标、总体特征和可接受风险水平D.抽样只适用于实质性测试答案C解析审计抽样需基于审计目标和风险评估设计，样本量并非越大越好，还需考虑成本效益原则。抽样结果应结合专业判断使用，且符合性测试同样适用抽样。9.某信息系统因数据库参数配置错误导致服务中断4小时，该事件属于哪一类安全属性受损？A.机密性B.完整性C.可用性D.不可抵赖性答案C解析服务中断意味着用户无法正常使用系统，属于可用性受损。配置错误未直接导致数据泄露（机密性）或数据篡改（完整性）。10.在审计一家企业的大数据平台时，审计师最应关注的数据治理风险是：A.数据量是否足够大B.数据质量、数据血缘及元数据管理是否完善C.数据可视化工具是否美观D.数据存储硬件的品牌答案B解析大数据环境下，数据治理风险集中在数据质量、数据血缘追踪、元数据管理、数据标准和数据安全等方面。数据量大并不等于数据可信、可用。二、多项选择题（每题3分，共15分，少选或错选不得分）1.下列哪些属于IT一般控制审计中需要检查的内容？A.用户账号的开通、变更和注销流程B.系统变更是否经过测试和授权审批C.财务报表合并抵消分录的正确性D.机房消防、电力及环境监控措施答案ABD解析一般控制包括逻辑访问控制、变更管理、系统开发与运维控制、物理与环境控制等。选项C属于财务报表审计中的实质性测试范畴。2.关于灾难恢复预案（DRP）和业务连续性计划（BCP），下列说法正确的有：A.BCP的范围通常比DRP更广，涵盖人员、流程、供应商等B.DRP主要关注IT系统和基础设施的恢复C.BCP和DRP一经制定便无需更新D.应定期对BCP和DRP进行测试和演练答案ABD解析BCP与DRP需随着业务环境、组织架构和技术的变化持续更新，并定期演练以验证有效性。选项C错误。3.以下哪些工具或技术可以用于IT审计数据分析？A.SQL查询语句B.ACL（AuditCommandLanguage）C.Python的Pandas库D.仅使用文本编辑器手动翻阅答案ABC解析SQL、ACL和Python等均为常见的数据分析工具和技术。仅靠手动翻阅效率低且难以处理海量数据，不是规范的数据分析方法。4.在对某企业进行信息安全审计时，以下哪些发现属于高风险问题？A.系统管理员同时拥有应用系统开发权限和生产环境变更权限B.离职员工的系统账号在离职后30天内未注销，但期间无异常登录记录C.核心数据库开启了默认超级用户账户且使用初始密码D.生产环境与开发环境未进行逻辑隔离，开发人员可直接访问生产数据答案ACD解析A项违反职责分离，C项和D项均构成严重安全隐患。B项虽存在账号未及时清理问题，但因无异常记录且影响有限，风险等级相对较低，但审计中仍应指出并要求整改。5.在评估IT项目外包风险时，审计师应考虑的因素包括：A.外包服务商的财务稳定性和持续经营能力B.数据保密协议（NDA）和外包合同条款是否完备C.外包服务商是否提供免费赠品D.外包人员的安全背景审查情况答案ABD解析外包风险评估需关注供应商的财务健康、合同与保密条款、人员安全管理等。免费赠品与审计风险无关。三、判断题（每题1分，共10分）1.IT审计只关注技术问题，不涉及业务流程和内部控制。答案错误解析IT审计不仅关注技术层面，还需结合业务流程、内部控制和管理目标综合评价。2.防火墙可以完全杜绝所有网络攻击。答案错误解析防火墙只能根据预设规则过滤流量，不能防御所有攻击，如针对应用层漏洞的攻击、内部威胁等。3.数据库审计日志应至少保存一段时间，以满足合规和调查要求。答案正确解析日志保存期限应考虑法律法规、行业标准及组织内部政策要求，确保可追溯。4.在信息安全中，"不可抵赖性"是指通过数字签名、日志等技术手段确认操作者身份和操作事实，防止事后否认。答案正确解析不可抵赖性（Non-repudiation）是信息安全的重要属性之一，通常借助数字签名、审计日志等实现。5.云计算环境下，数据所有权和管理责任完全转移给云服务商，客户无需承担任何安全责任。答案错误解析根据责任共担模型，云服务商负责底层基础设施安全，客户仍需对自身数据、身份管理、应用配置等安全负责。6.系统开发生命周期（SDLC）中，需求分析阶段的主要任务是编写程序代码。答案错误解析需要分析阶段的任务是收集、分析和确认用户需求，编写代码属于开发/实现阶段。7.审计证据的充分性和适当性是相互独立的两个概念，适当性包括相关性和可靠性。答案正确解析充分性针对证据数量，适当性针对证据质量（相关性和可靠性），二者共同决定审计证据的证明力。8.渗透测试等同于漏洞扫描。答案错误解析渗透测试是模拟攻击者行为主动利用漏洞验证风险，漏洞扫描是自动化工具发现潜在漏洞，两者方法、深度和目的不同。9.IT资产盘点工作仅需关注硬件资产，软件资产无需纳入管理。答案错误解析IT资产管理包含硬件、软件、许可证、数据等，软件资产同样需要盘点、跟踪和合规管理。10.审计发现应当与被审计单位沟通，并获取其对事实的确认或分歧意见。答案正确解析审计沟通是审计工作的重要环节，审计发现的确认有助于保证结论客观、准确，并为后续整改提供依据。四、简答题（每题5分，共15分）1.简述IT一般控制审计中"逻辑访问控制"审计应关注的主要方面。答案(1)用户账号管理：账号申请、审批、开通、复核、注销流程是否健全；(2)权限配置：权限分配是否遵循最小权限原则，是否定期复核权限；(3)特权账户管理：超级用户、管理员账户的使用、共享和监控情况；(4)密码策略：密码长度、复杂度、有效期、登录失败锁定等规则；(5)远程访问：远程接入方式、VPN、多因素认证及终端安全管控。2.在审计一个新建信息系统项目时，审计师应关注系统开发生命周期中的哪些关键控制点？答案(1)需求管理：需求是否完整、可追溯，是否经业务部门确认；(2)系统设计：设计是否满足需求，架构是否安全合理；(3)开发与测试：开发环境与测试环境是否分离，测试是否覆盖功能、安全和性能；(4)变更管理：需求变更是否经过评估和审批；(5)上线与移交：上线前是否完成测试验收，文档是否完备，运维团队是否具备能力；(6)数据迁移：数据迁移的完整性、准确性和保密性是否有保障。3.简述IT审计中"应用控制"的分类及每一类的主要目标。答案应用控制分为三类：(1)输入控制：确保进入系统的数据完整、准确、合法，如数据校验、格式检查、授权审批；(2)处理控制：确保数据处理过程正确、完整，如批量总数核对、程序逻辑检查、异常处理机制；(3)输出控制：确保输出结果的准确性、完整性和保密性，如输出结果审核、分发管理、敏感报告访问控制。五、案例分析题（每题20分，共40分）1.某国有企业拟建设一套供应商管理信息系统，并将服务器部署在云平台上。该系统涉及供应商的基本信息、报价信息及历史合作记录。企业IT部门提出以下方案："为节约成本，将生产环境与开发环境部署在同一云虚拟私有网络（VPC）内，开发人员可直接访问生产数据库以快速定位问题；系统管理员同时负责数据库备份和安全日志审核；数据每日备份一次，保存7天；供应商登录系统仅使用用户名和密码。"请从IT审计的角度分析该方案中存在的主要风险，并给出改进建议。答案：主要风险及改进建议如下：（1）环境未隔离（开发与生产混合部署）风险：开发操作可能影响生产环境稳定，且开发人员可直接访问生产数据，增加数据泄露和误操作风险。建议：将开发环境与生产环境物理或逻辑隔离，不同VPC或子网分隔，严格限制跨环境访问，开发人员不得直接接触生产数据。（2）职责未分离风险：系统管理员同时负责备份和安全日志审核，缺乏制衡，可能掩盖违规操作或安全事件。建议：将数据库备份职责与安全日志审核职责分离，由不同人员或团队承担；日志应防篡改并独立存储。（3）备份策略不足风险：每日备份一次，保存7天，恢复点目标（RPO）为1天，恢复时间目标（RTO）可能无法满足业务连续性要求，且7天保存期过短，无法应对延迟发现的数据损坏或合规审计需求。建议：根据业务影响分析（BIA）确定合理的RPO和RTO；适当缩短备份间隔、延长保存周期；定期进行恢复演练，验证备份有效性。（4）认证方式薄弱风险：供应商登录仅使用用户名和密码，存在暴力破解、撞库、钓鱼等风险，且无法有效追溯操作主体。建议：启用多因素认证（MFA），如短信验证码、动态令牌、数字证书等；同时加强密码策略和安全登录监控。（5）云环境安全责任未明确风险：方案未体现责任共担意识，可能忽视云平台安全配置、数据加密、访问控制和日志审计等客户侧责任。建议：明确云服务商与企业的安全职责边界，选用符合安全合规要求的云服务，对数据库启用传输加密和存储加密，定期开展云安全配置审计。2.某银行IT审计部门对核心业务系统开展审计。发现以下情况：(1)系统运维人员王某拥有生产环境数据库管理权限，同时其个人邮箱收到来自不明发件人的"系统升级补丁"邮件，王某曾在测试环境中安装该补丁但未上报；(2)该行核心系统与外部联网区域之间仅部署了一台防火墙，且防火墙策略近一年未进行复查；(3)某离职员工李某的系统账号在离职后第5天仍被用于登录核心系统查询客户信息，该账号为共享账号，多人同时使用；(4)核心系统的重要参数变更由运维人员直接在生产环境修改，修改后仅口头告知当班同事，无书面记录和审批。请逐项分析上述发现的风险，并分别给出审计建议。答案：（1）运维人员私自安装不明来源"补丁"，且未上报风险：不明来源"补丁"可能包含恶意代码或后门，一旦在生产环境安装，可能导致数据泄露、系统被