IT审计 管好信息资产 第2版PDF|Epub|txt|kindle电子书版本网盘下载

IT审计 管好信息资产 第2版PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

引言1

第一部分 审计综述3

第一章 建立有效的IT内部审计职能3

我们为什么在这里——内部审计部门的使命3

独立性：一个待商榷的概念5

咨询和早期参与8

咨询和早期参与的四种方法10

早期参与10

非正式审计13

知识共享16

自我评估19

小结20

建立关系：协作与监督20

学会构建协作关系22

IT审计小组的作用25

应用系统审计人员26

数据提取与分析专家27

IT审计人员28

建立和保持有效的IT审计团队29

职业IT审计人员30

IT专业人员31

职业IT审计人员与IT专业人员的比较33

合作审计（cosourcing）35

保持专业技能36

学习的来源36

与外部审计人员的关系39

总结39

第二章 审计流程41

内部控制41

内部控制的类型42

内部控制实例43

确定审计内容44

确定审计范围44

审计项目排序47

确定审计内容49

审计的各个阶段50

规划50

现场工作和文件编制53

发现问题和验证54

制定解决方案55

编写并发布报告61

跟踪问题66

审计标准67

总结68

第二部分 审计方法73

第三章 实体层控制审计73

背景73

实体层控制审计的测试步骤75

知识库93

审计检查清单93

实体层控制审计93

第四章 数据中心和容灾审计95

背景95

数据中心审计要素95

物理安全和环境控制97

系统和站点弹性98

数据中心的运营99

防灾准备100

数据中心审计的测试步骤100

邻近和外部风险因素101

物理访问控制104

环境控制110

动力和电力111

消防措施114

数据中心的运营118

系统弹性123

数据备份和恢复125

灾难恢复规划126

知识库128

审计检查清单129

数据中心审计129

第五章 路由器、交换机和防火墙审计131

背景131

网络审计要素132

协议133

OSI模型133

路由器和交换机134

防火墙137

路由器、交换机和防火墙审计138

总体网络设备审计步骤139

其他交换机控制：第2层146

其他路由器控制：第3层149

其他防火墙控制152

工具和技术154

知识库154

审计检查清单155

总体网络设备审计步骤155

审计第2层设备：交换机的额外控制155

审计第3层设备：路由器的额外控制156

审计防火墙：额外控制156

第六章 Windows操作系统审计157

背景157

Windows审计要素158

命令行窍门159

基本的命令行工具159

常用命令行工具161

服务器管理工具162

实施审计162

Windows审计的测试步骤163

设置和其他通用控制163

审核服务、安装的应用程序以及计划的任务167

账户管理和密码控制170

审核用户权限和安全选项174

网络安全和控制措施175

网络漏洞扫描和入侵防御179

Windows客户端简化审计181

工具和技术186

知识库186

审计检查清单187

Windows服务器审计187

Windows客户端审计188

第七章 Unix和Linux操作系统审计189

背景189

Unix和Linux审计要素191

主要概念191

文件系统布局和导航192

文件系统权限194

用户和验证195

网络服务198

Unix和Linux系统审计的测试步骤198

账户管理和密码控制199

文件安全和控制措施211

网络安全和控制措施218

审计日志230

安全监控和一般控制措施233

工具和技术235

Nessus236

NMAP236

Chkrootkit236

Crack和John the Ripper237

Tiger和TARA237

Shell/Awk/etc237

知识库238

审计检查清单239

账户管理和密码控制措施审计239

文件安全和控制措施审计240

网络安全和控制措施审计240

审计日志审计241

安全监控和一般控制措施审计241

第八章 Web服务器和Web应用程序审计242

背景242

Web审计要素242

一次审计多个组成部分243

第1部分：主机操作系统审计的测试步骤244

第2部分：Web服务器审计的测试步骤244

第3部分：Web应用程序审计的测试步骤248

Web应用程序审计的其他步骤258

工具和技术259

知识库260

审计检查清单261

Web服务器审计261

Web应用程序审计262

第九章 数据库审计263

背景263

数据库审计要素264

常见数据库厂商265

数据库架构268

数据库审计的测试步骤273

设置和一般控制措施274

操作系统安全276

账户和权限管理278

数据加密284

监控和管理285

工具和技术288

审计工具288

监控工具288

知识库290

审计检查清单292

数据库审计292

第十章 存储审计294

背景294

存储审计要素295

关键存储组成部件295

关键存储概念299

存储审计的测试步骤301

设置和一般控制措施301

账户管理303

存储管理304

额外安全控制措施306

知识库308

审计检查清单309

第十一章 虚拟环境审计310

背景310

商业项目和开源项目311

虚拟审计要素312

虚拟审计的测试步骤313

设置和一般控制314

账户管理及资源配置与解除315

虚拟环境管理317

其他安全控制320

知识库325

管理程序325

工具326

审计检查清单326

第十二章 无线局域网和移动设备审计328

背景328

WLAN背景329

具有数据功能的移动设备背景说明331

无线局域网和移动设备审计要素332

无线局域网审计的测试步骤333

第1部分：无线局域网技术审计333

第2部分：无线局域网运行审计339

移动设备审计的测试步骤341

第1部分：移动设备技术审计342

第2部分：移动设备运行审计344

其他考虑因素346

工具和技术347

知识库347

总清单348

无线局域网审计348

移动设备审计348

第十三章 应用程序审计349

背景349

应用程序审计要素350

一般性框架351

最佳实践354

应用程序审计的测试步骤356

输入控制356

接口控制358

审计线索360

访问控制361

软件变更控制365

备份和恢复367

数据保存和分类以及用户参与369

操作系统、数据库以及其他基础设施的控制措施370

审计检查清单370

应用程序最佳实践370

应用程序审计371

第十四章 云计算和外包审计372

背景372

IT系统和基础设施外包373

IT服务外包379

IT服务外包的其他考虑因素379

SAS 70报告380

云计算和外包审计的测试步骤381

准备工作与概述382

供应商选择与合同385

数据安全388

运营395

法律问题和法规遵从399

知识库401

审计检查清单402

云计算和外包审计402

第十五章 公司项目审计404

背景405

项目审计要素405

项目审计的高级目标405

项目审计的基本方法406

项目审计的七大主要部分407

公司项目审计的测试步骤408

项目总体管理409

项目启动：需求收集和初步设计413

详细设计和系统开发417

测试419

实施422

培训424

项目总结425

知识库425

审计检查清单426

总体项目管理审计426

项目启动审计426

详细设计和系统开发审计427

测试审计427

实施审计427

培训审计427

项目总结审计428

第三部分 框架、标准和法规431

第十六章 框架和标准431

内部IT控制措施、框架和标准介绍431

COSO432

COSO内部控制定义433

内部控制的关键概念433

内部控制——整合框架433

企业风险管理——整体框架436

内部控制与企业风险管理出版物之间的关系439

COBIT440

COBIT框架440

IT治理444

IT治理成熟度模型445

ITIL447

ITIL概念448

ISO 27001448

ISO 27001概念449

美国国家安全局信息安全评估方法450

美国国家安全局信息安全评估方法的概念450

事先评估阶段451

现场活动阶段451

事后评估阶段452

框架和标准的趋势452

相关文献453

第十七章 法规454

与内部控制有关的立法介绍454

法规对IT审计的影响455

企业金融监管的历史456

2002年《萨班斯－奥克斯利法案》457

《萨班斯－奥克斯利法案》对公共公司的影响457

《萨班斯－奥克斯利法案》的核心点458

《萨班斯－奥克斯利法案》对IT部门的影响460

拥有多个经营场所的企业在《萨班斯－奥克斯利法案》方面的考虑因素461

第三方服务对于《萨班斯－奥克斯利法案》合规的影响461

《萨班斯－奥克斯利法案》合规要求的特定IT控制措施462

《萨班斯－奥克斯利法案》合规对企业的财务影响466

《格雷姆－里奇－比利雷法》467

《金融服务现代化法案》的要求467

联邦金融机构检查委员会469

隐私法规469

加利福尼亚州《SB 1386法案》470

国际隐私法律470

隐私法律的趋势471

1996年《健康保险隐私与责任法案》472

《HIPAA隐私规则》和《HIPAA安全规则》473

《HITECH法案》475

《HIPAA法案》对范围内实体的影响475

欧盟委员会和《新巴塞尔资本协定》476

《新巴塞尔资本协定》476

支付卡行业（PCI）数据安全标准477

支付卡行业标准对支付卡行业的影响478

其他立法趋势479

相关文献479

第十八章 风险管理482

风险管理的益处482

执行官眼中的风险管理482

风险应对483

定量和定性风险分析484

定量风险分析484

风险要素484

实用应用程序485

实践中的定量风险分析487

不准确的常见原因487

定性风险分析489

IT风险管理生命周期490

第1阶段：识别信息资产490

第2阶段：威胁的量化和定性494

第3阶段：脆弱性评估499

第4阶段：改进控制差距501

第5阶段：管理剩余风险503

公式汇总503

主审的话504

院长寄语506