Page 65 - 现代财务管理与审计

第三章 信息系统审计

1. 安全审计产品分类
技术规范将安全审计产品分为专用型和综合型两类。专用型是指对主机、服
务器、网络、数据库管理系统、其他应用系统等客体采集对象其中一类进行审计，
并对审计事件进行分析和响应的安全审计产品。综合型是指对主机、服务器、网

络、数据库管理系统、其他应用系统中至少两类客体采集对象进行审计，并对审
计事件进行统一分析与响应的安全审计产品。
2. 安全功能要求
技术规范从审计踪迹、审计数据保护、安全管理、标识和鉴别、产品升级、

监管要求六个方面给出了详细的安全功能要求，其中每个功能还有更细致、可测
试的安全子功能描述。
3. 自身安全要求
技术规范对安全审计产品自身安全也作出了明确的要求，分别包括：自身审

计数据生成、自身安全审计记录独立存放、审计代理安全、产品卸载安全、系统
时间同步、管理信息传输安全、系统部署安全、审计数据安全等。
4. 性能要求
信息系统安全审计产品的性能要求是指：

①稳定性：软件代理在宿主操作系统上应工作稳定，不应造成宿主机崩溃情
况。硬件代理产品在与产品设计相适应的网络带宽下应运行稳定。
②资源占用：软件代理的运行对宿主机资源（如 CPU、内存空间和存储空
间），不应长时间固定或无限制占用，不应影响对宿主机合法的用户登录和资源

访问。
③网络影响：产品的运行不应对原网络正常通信产生长时间固定影响。
④吞吐量：产品应有足够的吞吐量，保证对被审计信息系统接收和发送的海
量数据的控制。在大流量的情况下，产品应通过自身调节做到动态负载均衡。

5. 保证要求
此外，技术规范还对产品及开发者提出了若干产品保证方面的要求，比如，
配置管理保证、交付与运行保证、指导性文档、测试保证、脆弱性分析保证和生
命周期支持等。

53