關(guān)于鐵路信息系統(tǒng)全生命周期審計的探討

1、<p>　　關(guān)于鐵路信息系統(tǒng)全生命周期審計的探討</p><p>　　[摘要]鐵路信息系統(tǒng)中存有很多重要的信息數(shù)據(jù)，而對該系統(tǒng)進(jìn)行全生命周期審計的重要目的就是為了確保信息數(shù)據(jù)的準(zhǔn)確性。所謂全生命周期審計就是指在信息系統(tǒng)建立之前、之中、之后都要進(jìn)行審計，而不是針對某一階段的審計，這樣才能確保我國鐵路信息系統(tǒng)的安全運行。文章首先對信息系統(tǒng)審計進(jìn)行了闡釋，其次對現(xiàn)階段鐵路信息系統(tǒng)全生命周期審計現(xiàn)狀進(jìn)行了分析，

2、最后探討了全生命周期審計策略，僅供交流使用。 </p><p>　　[關(guān)鍵詞]鐵路信息系統(tǒng)；全生命周期審計；鐵路企業(yè) </p><p>　　[DOI]1013939/jcnkizgsc201533080 </p><p>　　1信息系統(tǒng)審計概述 </p><p>　　現(xiàn)代各個行業(yè)都需要進(jìn)行信息審計，以便國家進(jìn)行宏觀調(diào)控，同時也便于企業(yè)領(lǐng)導(dǎo)制定

3、下一步的規(guī)劃。信息系統(tǒng)審計并沒有統(tǒng)一的概念，不同的學(xué)者站在不同的角度對其進(jìn)行了闡釋，但是大家都比較認(rèn)可ISACA對信息系統(tǒng)審計所下的定義，即信息系統(tǒng)審計是一個過程，在這一過程中，相關(guān)人員需要獲取證據(jù)，同時對證據(jù)進(jìn)行評價，以此為依據(jù)來評判計算機(jī)系統(tǒng)中的數(shù)據(jù)是否真實可靠，其中所記錄的資產(chǎn)是否安全等。信息系統(tǒng)審計主要包含三方面內(nèi)容：首先，真實性審計，這種審計主要是為了補(bǔ)充傳統(tǒng)審計，確保財務(wù)管理真實準(zhǔn)確，杜絕假賬的出現(xiàn)；其次，安全性審計，其針對

4、的是信啟以及資產(chǎn)，避免因為信息系統(tǒng)的問題，而為企業(yè)帶來經(jīng)營風(fēng)險；最后，績效審計，其針對的是投入與產(chǎn)出。這3個方向的審計實際上都是按照審計目標(biāo)要求，來對證據(jù)進(jìn)行詳細(xì)的評價，最終得出相應(yīng)的評價結(jié)果。信息系統(tǒng)審計所要達(dá)到的目標(biāo)就是確保數(shù)據(jù)真實、合法、可靠，以此保證信息系統(tǒng)安全、保密、可用。審計目標(biāo)貫穿于審計工作始終，是每個審計人員都要遵循的準(zhǔn)則。 </p><p>　　2現(xiàn)階段鐵路信息系統(tǒng)全生命周期審計的現(xiàn)狀 <

5、/p><p>　　21很多信息系統(tǒng)全生命周期審計只是事后審計 </p><p>　　很多鐵路信息系統(tǒng)審計人員，并不關(guān)注事前、事中審計，而是注重事后審計，這樣難以發(fā)現(xiàn)問題，解決問題?，F(xiàn)階段我國在鐵路信息系統(tǒng)審計方面，通常都是在信息系統(tǒng)建設(shè)完成之后才開展審計工作，尤其是績效以及專項審計更加明顯，這是事后審計。盡管事后審計也十分重要，但是只是單純地依靠事后審計，必定會造成審計不全面，而且即使在審計過

6、程中，發(fā)現(xiàn)了問題，也難以追根溯源，可能整個項目都會受到影響。但是如果能夠在事前、事中就進(jìn)行審計，發(fā)現(xiàn)問題之后，可以立即解決，對整個項目不會造成過于嚴(yán)重的影響。 </p><p>　　22不注重信息系統(tǒng)運營維護(hù)期間的審計工作 </p><p>　　因為受到信息系統(tǒng)固有特點的影響，其在整個生命周期之內(nèi)，存有很大的安全隱患，經(jīng)過調(diào)查顯示，這些隱患通常出現(xiàn)在運營維護(hù)期間。信息系統(tǒng)的產(chǎn)生、發(fā)展、滅亡

7、，這是一個全生命周期，其與其他行業(yè)最大的區(qū)別在于，信息系統(tǒng)投入使用之后，依然需要工作人員從事大量的工作，以便能夠隨時糾正軟件錯誤，保證信息系統(tǒng)可以隨時隨地滿足社會需求。相關(guān)數(shù)據(jù)顯示，鐵路信息系統(tǒng)在維護(hù)期間，所花費的成本幾乎達(dá)到了整個項目的一半以上，但是糾正與修改，會影響信息系統(tǒng)的安全性，這對鐵路經(jīng)營有著更大的風(fēng)險。因此做好信息系統(tǒng)運營維護(hù)期間的審計工作十分必要，既可以節(jié)約成本，也可以提高信息系統(tǒng)軟件的使用年限。 </p>

8、<p>　　23專業(yè)化程度不高 </p><p>　　信息系統(tǒng)審計所使用的技術(shù)專業(yè)性并不強(qiáng)，因此很多審計人員在規(guī)定的審計時間內(nèi)，并沒有檢查出特別有價值的東西?，F(xiàn)階段，我國鐵路企業(yè)所使用信息系統(tǒng)通常都是大型網(wǎng)絡(luò)數(shù)據(jù)庫系統(tǒng)，此種類型的系統(tǒng)不僅規(guī)模比較大，而且設(shè)計程序十分復(fù)雜，審計工作者難以找到有效的信息數(shù)據(jù)。同時鐵路信息系統(tǒng)在正式應(yīng)用之前，會對其測試，因此正常的運營環(huán)境很難發(fā)現(xiàn)系統(tǒng)漏洞，而在鐵路信息系統(tǒng)項目

9、展開審計時，有一些項目未投產(chǎn)，不允許測試，所以審計人員難以發(fā)現(xiàn)系統(tǒng)漏洞問題。 </p><p>　　3鐵路信息系統(tǒng)全生命周期審計的策略 </p><p>　　鐵路信息系統(tǒng)全生命周期審計，需要與信息系統(tǒng)建設(shè)全生命周期有效地結(jié)合起來，但是因為信息系統(tǒng)之間的差異，也就影響了生命周期模型的選擇，比較常見的生命周期模型有瀑布模型、螺旋模型、迭代模型。但是就鐵路企業(yè)來說，所使用模型主要是瀑布模式，有些

10、鐵路所選擇模型盡管不是瀑布模式，但是也是在其基礎(chǔ)上演化而來的模型。本文正是以瀑布模型為闡釋重點。 </p><p>　　31系統(tǒng)研發(fā)設(shè)計階段 </p><p>　　這一階段主要包括了總體規(guī)劃、需求分析、系統(tǒng)設(shè)計、系統(tǒng)實現(xiàn)四個環(huán)節(jié)。這一階段，有關(guān)人員需要進(jìn)行總體規(guī)劃，其重點工作就是項目立項，同時對項目是否具有可行性進(jìn)行系統(tǒng)分析，總體規(guī)劃可以說是整個鐵路信息系統(tǒng)建設(shè)得以完成的初始環(huán)節(jié)，同時也是

11、對風(fēng)險投資進(jìn)行控制的最為重要的環(huán)節(jié)。因其重要性以及特殊性，所以審計人員的工作就是對可行性研究進(jìn)行審計，查看其是否科學(xué)合理，其所規(guī)定的投資決策是否具有科學(xué)性。需求分析針對的是用戶需求，有關(guān)人員需要對用戶的需求進(jìn)行調(diào)節(jié)，以此依據(jù)其需求開發(fā)設(shè)計信息系統(tǒng)，這一環(huán)節(jié)審計工作的重點就是考察需求調(diào)研是否充分可靠，而依據(jù)用戶需求所進(jìn)行的開發(fā)是否具有準(zhǔn)確性以及追溯性等。鐵路信息系統(tǒng)的設(shè)計與實現(xiàn)環(huán)節(jié)，因為需要大量的技術(shù)工作，所以常常不會引起審計部門的重視，

12、但是事實上，這一環(huán)節(jié)需要審計的內(nèi)容有很多，比如信息系統(tǒng)研發(fā)應(yīng)該遵循的標(biāo)準(zhǔn)。 </p><p><b>　　32系統(tǒng)驗收審計 </b></p><p>　　系統(tǒng)測試除了進(jìn)行功能測試外，還應(yīng)包括審計關(guān)注的安全性測試、防災(zāi)應(yīng)急預(yù)案的測試等。系統(tǒng)切換至關(guān)重要，關(guān)乎既有系統(tǒng)的安全，切換方案的周密和合理性應(yīng)是關(guān)注的重點。審計人員還應(yīng)對資產(chǎn)的移交進(jìn)行審計，審核資產(chǎn)庫中正式運行版本與

13、源程序代碼、技術(shù)文檔、運營維護(hù)手冊的一致性、完整性，以及知識產(chǎn)權(quán)的確認(rèn)等，這些既是企業(yè)資產(chǎn)的重要組成部分，也是系統(tǒng)運營維護(hù)階段必要的技術(shù)基礎(chǔ)。 </p><p>　　33系統(tǒng)運營維護(hù)審計 </p><p>　　系統(tǒng)運營維護(hù)審計對應(yīng)于系統(tǒng)正式運行后的運營維護(hù)階段。這一階段主要有兩方面的工作，即糾錯和改進(jìn)。軟件系統(tǒng)是一項復(fù)雜的人機(jī)系統(tǒng)，錯誤在所難免，需要通過修改予以糾正。另外，信息系統(tǒng)是由多種

14、軟、硬件系統(tǒng)集成的，任何一個系統(tǒng)發(fā)生改變，必將引起其他系統(tǒng)的相應(yīng)修改，另外，隨著信息系統(tǒng)的使用，也會不斷產(chǎn)生新的業(yè)務(wù)需求，這就要求信息系統(tǒng)進(jìn)行相應(yīng)的修改。對已經(jīng)過嚴(yán)密測試的既有系統(tǒng)進(jìn)行改動，將會給其安全性、可靠性帶來隱患，為避免和減少這種風(fēng)險，系統(tǒng)維護(hù)審計責(zé)任重大。近年來，許多投產(chǎn)項目的維護(hù)費用已經(jīng)超過了系統(tǒng)的研發(fā)費用，而且大有上升的趨勢，因此對維護(hù)成本進(jìn)行審計也很必要。 </p><p><b>　　

15、4結(jié)論 </b></p><p>　　對鐵路信息系統(tǒng)全生命周期審計進(jìn)行探討十分必要，因為我國早期使用的鐵路信息系統(tǒng)無論是在設(shè)計、發(fā)展、維護(hù)等方面都存在非常大的問題。進(jìn)行全生命周期審計之后，有很多問題都可以避免，這對促進(jìn)我國鐵路事業(yè)的發(fā)展有著積極的作用，同時也利于我國信息技術(shù)在鐵路企業(yè)中的應(yīng)用。 </p><p><b>　　參考文獻(xiàn)： </b></p