• 第1頁：控制框架相關知識

• 第2頁：典型試題

E01　控制框架

該部分大綱主要涉及的就是兩個主要控制框架:COBIT和SAC（eSAC）
1.COBIT的含義
COBIT（Control Objectives for Information and related Technology，信息及相關技術的控制目標）由ITGI（信息技術治理協會）提出，其最新版的COBIT4.1產品家族分三個層次，分別為執行管理層和董事會，業務和IT經理層，治理、鑒證、控制和安全專家提供支持。可見，COBIT已從一個審計師的工具，演變為IT治理框架，它在商業風險、控制需要和技術問題之間架起了一座橋梁，以滿足管理的多方面需要。

COBIT將IT過程，IT資源及信息與企業的策略與目標聯系起來，形成一個三維的體系結構。
其中，信息準則維集中反映了企業的戰略目標，主要從質量、成本、時間、資源利用率、系統效率、保密性、完整性、可用性等方面來保證信息的安全性、可靠性、有效性；IT資源維主要包括以人、應用系統、技術、設施及數據在內的信息相關的資源，這是IT治理過程的主要對象；IT過程維則是在IT準則的指導下，對信息及相關資源進行規劃與處理，從信息技術的規劃與組織、采集與實施、交付與支持、監控等四個方面確定了34個信息技術處理過程，每個處理過程還包括更加詳細的控制目標和審計方針對IT處理過程進行評估。
COBIT是一個非常有用的工具，也非常易于理解和實施，可以幫助在管理層、IT與審計之間交流的鴻溝上搭建橋梁，提供了彼此之間溝通的共同語言。所有的信息系統審計、控制及安全專業人員應該考慮采用COBIT原則。COBIT的優點有：
通過實施COBIT，增加了管理層對控制的感知及支持。
COBIT使IT管理工作簡易并量化。
COBIT提供了一種國際通用的IT管理及問題解決方案。
COBIT有助于提高信息系統審計師的影響力，依據COBIT出具的信息系統審計報告更容易得到管理層的肯定。
COBIT框架可以幫助決定過程責任，提高IT治理水平。通過采用該框架作為對一個責任矩陣分析的基礎，可以做到基于角色的IT管理，定義過程措施，確保客戶利益。
1.2 eSAC
SAC的概念在1977年由國際內審研究院（the Institute of Internal Auditors-IIA）第一次明確提出，當時SAC是指系統審計與控制（systems auditability and control）。1991年和1994由國際內審研究基金會進行較大更新后，SAC是指系統鑒證與控制（systems assurance and control）。SAC已成為IT審計師在信息技術安全、控制與審計領域中的重要指南。
在電子商務時代，隨著互聯網技術的飛速發展，系統中的控制及相互依賴性已經沒有組織與地理位置的限制，普遍存在于各種組織中。不管是什么規模的組織，都需要有一套控制指南來有效地管理信息系統和技術，并隨著業務環境的變化和新技術的發展及時更新系統。信息系統審計師及IT安全從業人員必須知道威脅來自何處，如何管理這些威脅帶來的風險，而且也要知道如何與不同層次的管理人員共同討論安全問題。我們在考慮信息與系統安全時，著重要回答以下關鍵問題：“如何管理IT風險？”“如何判斷安全與控制措施是否完備？”“誰可以為IT安全提供鑒證？”“鑒證可以說明什么？”等。這就是制訂SAC控制規范的主要原因。
SAC通過提供及時更新的信息，幫助我們理解、監測、評估及降低技術風險。SAC檢查業務系統各個組成部分的風險，包括客戶、競爭對手、監管部門及合作伙伴。
新版本SAC的一個重要特征就是提出的eSAC控制模型。建立此模型有利于討論在電子商務環境中的目標、風險及減輕威脅造成的風險的措施三者的關系。目前有許多不同的風險與控制模型，任何一種模型都有其特定的適用對象及范圍，組織必須進行合理剪裁，以適合組織的實際情況。eSAC模型可以較好地反映快速變化的技術環境及電子商務模式所帶來的風險，并給出如何管理這些風險的建議。

模型中的左邊箭頭表示的是組織的任務，包括組織的價值取向、企業戰略、主要目標等。右邊箭頭表示的是組織獲得所期望的回報，同時滿足組織形象與聲望的完善，及獲得進一步提高績效的學習能力。
從目標到結果需要建立合理的控制環境，包括系統運營的效果與效率（operating），財務及管理的報告（reporting），法律、法規的符合性（compliance），對信息資產的保護（safeguarding）。
控制的效果要用與電子商務相關的各種控制屬性來描述，如可用性（ availability）、實際能力（capability）、機能性（functionality）、可保護性（protectability）、責任性（accountability），這些屬性都可被稱作業務鑒證目標，為人們正確看待各種控制提供了更廣寬而準確的框架。對任何業務的控制都可以通過這些控制屬性的組合來實現。例如：對隱私問題的控制可以通過可保護性和責任性的組合來實現。
要實現有效控制，需要利用各種資源，如人員（ people）、技術（technology）、流程（ processes）、投資（investment）、溝通（communication）。
影響內部控制環境的外部因素主要有兩種，如多方向的箭頭表述了與外部實體（供應商、合作伙伴、代理商）之間的交互作用及相互依賴性，單方向箭關表述了外部市場力量（如客戶、競爭對手、監管者、共同體、股東）和不斷變化的環境對內部控制的影響。
橢圓形區域表示動態的控制內外部環境，為保證控制環境相對穩定和可控，就必須對環境進行監測與預測，使相關風險被控制在一個組織可以接受的水平。

• 第1頁：控制框架相關知識

• 第2頁：典型試題

典型試題
1.根據IIA的SAC控制框架，除了以下哪一條外，其他都是對來自技術挑戰的有效反應?
a.風險評估
b.內部控制
c.變更最小化
d.電子鑒證服務
『正確答案』c
『解題思路』
a.不正確。SAC描述了一系列對技術挑戰的有效反應，這些反應包括對電子商務的風險評估、內部控制目標和電子鑒證服務。
b.不正確。見題解a。
c.正確。SAC控制框架中，對來自技術挑戰的有效反應不包括變更最小化。
d.不正確。見題解a。
2.根據IIA的SAC控制框架，“責任”是指：
a.與商業機密和其他知識產權相關的屬性。
b.可以確定交易來源的控制屬性。
c.對數據處理設備和存儲設備的訪問限制。
d.與員工和客戶的個人信息相關的屬性。
『正確答案』b
『解題思路』
a.不正確。與商業機密和其他知識產權相關的屬性與機密性相關。
b.正確。“責任”是一種可以確定交易來源的控制屬性。它確定員工的角色、行動和責任。用戶責任屬性可以由數據的所有者關系、訪問者的身份與驗證來確定。
c.不正確。對數據處理設備和存儲設備的訪問限制與物理安全相關。
d.不正確。與員工和客戶的個人信息相關的屬性與個人隱私相關。
3.COBIT是：
a.對IT流程實施有效控制的輔助指南。
b.對風險及對技術挑戰的反應
c.對以前的“系統審計與控制框架”——SAC的升級。
d.由COSO委員會出版發行。
『正確答案』a
『解題思路』
a.正確。COBIT是由信息系統審計與控制基金會制定的一種IT控制框架。COBIT提供了一套指南來協助管理人員和業務人員對IT流程和資源實施控制。COBIT被設計成一種IT治理工具，有助于理解和管理組織中的信息及與IT相關的風險與利益。
b.不正確。對風險及對技術挑戰的反應是SAC的特征。
c.不正確。Systems Assurance and Control才是對Systems Auditability and Control的升級。
d.不正確。COBIT是由ISACA出版發行的。
4.COBIT的目標用戶不包括以下哪一類人員?
a.管理人員。
b.用戶。
e.股東。
d.審計師。
『正確答案』c
『解題思路』
a.不正確。COBIT的目標用戶有三類：管理人員、用戶及審計師。管理人員必須在風險與控制成本之間進行平衡；用戶需要得到內部及外部IT服務的安全和控制的有效保證；審計師需要在獲得足夠的證據的情況下，對內部控制的狀態進行評估，并把審計結論傳遞給管理人員及其他相關人員。
b.不正確。見題解a。
c.正確。股東并不直接與組織日常管理中的IT服務相關，他們不是COBIT的目標用戶
d.不正確。見題解a。

相關推薦：國際注冊內審師考試《經營分析和信息技術》講義匯總
新添考試應用：
①資訊訂閱，查詢最新考試信息②章節習題 海量套題全免費體驗！！ 

（責任編輯：中大編輯）

共2頁,當前第1頁  第一頁  前一頁  下一頁