信息系统审计—参考答案 朱普熠 ch07

第七章信息系统安全管理审计、在评估对密码管理的程序控制时，信息系统审计师应审查哪些具体的控制措施？1

（1）密码复杂度要求审查密码策略，包括密码长度、复杂度、强度要求等

（2）密码生命周期管理审查密码更改和重置的程序，如密码到期、遗忘密码等情况下的处理流程

（3）密码存储和传输审查密码的存储方式和传输方式，如是否加密存储、使用安全通道传输等

（4）访问控制和身份验证审查密码作为身份验证凭证的使用情况，如多因素身份验证、账户锁定等

（5）密码保护机制审查密码的保护措施，如防止密码泄露的技术和管理防护措施、在审查软件使用和许可情况时，信息系统审计师发现许多含有未经授权的2PC软件应采取什么行动？

（1）记录并报告发现的未经授权软件情况，向相关部门或人员提供审计结果

（2）调查软件未经授权的原因，如是否是员工从外部下载的、是否是内部员工违规安装的等

（3）推动相关部门或人员制定和执行合规性政策和程序，加强软件的许可证管理和监控

（4）建议制定和实施软件使用和许可的培训和教育计划，提高员工对软件许可的意识和合规性意识、执行审计工作时，信息系统审计师检测到系统内存在病毒该信息系统审计师3下一步应该怎么做？

（1）立即停止检测到病毒的系统或应用程序的运行，以防止病毒进一步传播或造成损害

（2）通知相关部门或人员，如信息技术部门或网络安全团队，以便进行病毒扫描和清除操作

（3）协助有关部门或人员对受影响的系统进行修复和补丁操作，以恢复系统的正常运行

（4）追踪和记录病毒入侵的来源和传播路径，分析并评估影响范围和损害程度，并提供相应的建议和改进措施、在进行数据库安全控制审计时，可采用哪些审计方法？4

（1）审查权限管理审查数据库用户的权限分配情况，包括读取、写入、修改、删除等操作的授权设置

（2）审查访问日志审查数据库访问日志，检查用户的访问权限是否符合授权，并查找异常访问行为

（3）进行漏洞扫描使用专业的漏洞扫描工具对数据库进行扫描，发现数据库的安全漏洞和配置问题

（4）进行安全策略审查审查数据库的安全策略和配置，如密码策略、加密策略、审计策略等

（5）进行数据备份审查审查数据库的备份策略和实施情况，确保数据的完整性和可恢复性以上方法可以综合应用，以全面评估数据库的安全性和合规性。