中国石油信息系统总体控制符合性检查培训.pptx

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,中国石油信息系统总体控制项目组,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,中国石油信息系统总体控制项目组,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,中国石油信息系统总体控制项目组,1,中国石油信息系统总体控制符合性检验培训,中国石油信息系统总体控制符合性检查培训,第1页,目录,第一章,-,背景及基础知识,第二章,-,符合性检验工作程序,第三章,-,怎样进行表单检验,第四章,-,怎样编制工作底稿,第五章,普遍性问题检验方法,中国石油信息系统总体控制符合性检查培训,第2页,企业层面控制,企业道德规范,企业行为方式,企业组织架构,沟通流程,业务活动控制,业务活动控制,财务相关应用系统控制,信息系统总体控制,IT,基础设施,数据库,操作系统,企业层面控制,业务活动控制,信息系统总体控制,内控项目组,(,PWC),信息系统,应用控制项目组,(,Deloitte),信息系统,总体控制,(,GCC),项目组,(,BearingPoint),中国石油SOx项目分为业务控制、应用系统控制和信息系统总体控制三个层面内容,SOx,内控体系包含三个层面内容，当前中国石油分为三个项目组来完成相关内控体系建设，,GCC,项目组是其中主要组成部分,中国石油信息系统总体控制符合性检查培训,第3页,其中，GCC是内部控制中对信息系统相关总体控制,系统控制环境：,总体环境、信息与沟通、风险评定、监控等,项目建设管理：,开发方法论、项目立项审批、项目开启阶段、项目需求分析、项目设计、系统开发实施、系统符合性检验、数据移植、系统上线、项目验收、上线后审阅、用户培训、项目文档管理等,变更管理：,应用系统日常变更、系统环境日常变更、紧急变更管理等,系统日常运作：,机房环境控制、系统日常运作监控、批处理作业调度管理、数据备份与恢复、问题管理等,信息安全：,信息安全组织、逻辑安全、物理安全、网络安全、计算机病毒防护、外部第三方信息安全管理、信息安全事件响应等,信息系统总体控制,信息系统控制环境,信息安全,信息系统日常运作,变更管理,项目建设管理,最终用户操作,最终用户操作：,最终用户计算机操作安全制度、电子表格管理等,中国石油信息系统总体控制符合性检查培训,第4页,经过与外审及各地域企业重复沟通，当前，已经建立起符合内部控制及未来外审需要信息系统总体控制体系,GCC,控制矩阵：是针对每个控制目标确定一个或多个控制点，对每个控制点控制频率、控制类型等控制属性进行定义，并尽可能明确其现行制度文档,GCC,实施方法,GCC,控制矩阵,测试计划,与测试方案,相关表单,中国石油信息系统总体控制符合性检查培训,第5页,GCC实施方法是用于指导日常信息技术管理和运行管理流程和详细要求,GCC,实施方法,GCC,控制矩阵,测试计划,与测试方案,相关表单,实施方法涵盖了,IT,管理和运行所包括各个方面,控制环境,信息技术组织,人力资源管理,信息沟通,风险评定,监控,信息安全,信息安全组织,逻辑安全,物理安全,网络安全,病毒防护,第三方管理,安全事件响应,项目建设管理,项目立项,项目立项审批,商业软件及硬件外购,项目建设方法论,项目开启,需求分析,项目设计,系统开发实施系统测试,数据移植,系统上线,项目验收和上线后审阅,项目管理,项目培训管理,项目文档管理,项目问题管理,项目变更管理,系统变更,日常变更,紧急变更,信息系统日常运作,机房环境控制,日常监控,批处理作业管理,备份与恢复,问题管理,最终用户操作,最终用户操作安全制度,电子表格管理,中国石油信息系统总体控制符合性检查培训,第6页,中国石油信息系统总体控制符合性检查培训,第7页,为确保,GCC,体系实施统一性和高效率，项目组编制了,GCC,表单,GCC,实施方法,GCC,控制矩阵,测试计划,与测试方案,相关表单,GCC,领域,表单数量,总体管理,1,控制环境,1,信息安全,19,项目建设管理,1,系统变更,4,信息系统日常运作,14,最终用户操作,3,43,累计,中国石油信息系统总体控制符合性检查培训,第8页,并依据控制矩阵和实施方法相关要求，制订了测试计划和测试方案,GCC,实施方法,GCC,控制矩阵,测试计划,与测试方案,相关表单,中国石油信息系统总体控制符合性检查培训,第9页,任务单,是依据实施方法中对各级部门和岗位需要完成,GCC,相关工作要求而编制,任务单,明确了这些岗位应完成哪些,GCC,任务，并说明了该任务执行频率及需留下证据,股份企业层面包括：,信息管理部、财务部、规划计划部、法律部、人事部等,其它与股份企业层面类似，编制了地域企业部门/主要岗位,GCC,任务单,同时，为便于各地域企业执行，还编制了,GCC,任务单，,明确了各个岗位应完成相关工作,中国石油信息系统总体控制符合性检查培训,第10页,第一次测试中，项目组经过访谈、检验、观察等方式，发觉了各地域企业当前存在主要问题,访谈,编制访谈纪要,检验文本证据,系统实际检验,编制测试底稿,补填表单,实地观察,表单、会议纪要、相关材料等,访谈纪要,测试汇报,中国石油信息系统总体控制符合性检查培训,第11页,在测试,汇报中所提及各地域企业所存在较严重问题和潜在风险也应成为此次符合性检验关注重点,下列图是对此次测试包括60家单位，共2580个控制点测试情况汇总图,测试结束时，该控制点执行情况到达实施方法要求,在测试中发觉该控制点存在潜在风险,在测试中发觉该控制点存在较严重问题,安全,变更,开发,运维,最终用户操作,地域企业,中国石油信息系统总体控制符合性检查培训,第12页,目录,第一章,-,背景及基础知识,第二章,-,符合性检验工作程序,第三章,-,怎样进行表单检验,第四章,-,怎样编制工作底稿,第五章,普遍性问题检验方法,中国石油信息系统总体控制符合性检查培训,第13页,符合性检验是对当前内控体系执行情况符合性检验，是管理层测试基础,已经完成第一次,测试,目标更偏重于推进,GCC,要求实施,这次符合性检验应该严格地按外审格调进行，一切以证据为准，给出一份最真实，能表达中国石油,GCC,现实状况汇报，并发觉一些存在问题，找出例外和漏洞，让各企业尽早进行整改,其目标在于让中国石油为经过外审，在最终一段时间内进行有针对性调整,中国石油信息系统总体控制符合性检查培训,第14页,符合性检验工作程序,到点前,学习项目内容与符合性检验方法,与各企业联络人进行沟通,明确时间和工作安排,到点后,按每个企业详细情况对详细符合性检验工作执行时间进行小范围调整,开始进行符合性检验并同时编写各自工作底稿以及其它资料,前往下一个符合性检验单位,继续上述步骤,结束符合性检验回项目组,汇总,回项目组统一进行汇总和分析工作,给出符合性检验结论并提出整改提议,编写符合性检验汇报,中国石油信息系统总体控制符合性检查培训,第15页,到点前准备工作,与各企业联络人进行沟通,让对方了解何时开始符合性检验,让对方明确符合性检验前要做哪些准备工作,让对方知道此次符合性检验时间连续多久,让对方知道哪些人员在符合性检验时需要在场,与项目组组员沟通,统一符合性检验方法,下点时所带文档资料准备,包含：应用系统范围清单，范围内信息系统所在机房信息，测试文档等,其它明确需要统一口径问题,中国石油信息系统总体控制符合性检查培训,第16页,到点后工作,搜集地域企业相关信息,比如：地域企业基本信息，应用系统信息，机房信息，防火墙信息，人员对照表,进行正式符合性检验,经过访谈，,检验文本证据，系统实际检验，实地观察等方法进行实际检验,编写工作底稿,将填写测试计划表、测试表、抽样测试表以及相关表单和证据，及其它资料进行搜集，按要求编写装订成册,中国石油信息系统总体控制符合性检查培训,第17页,到点后详细符合性检验工作方案和操作步骤,0,执行“实施方法”要求和要求，填写相关表单,并将证据提交给本部门文档管理人员统一归档,1,2,3,“,GCC,实施方法”,“,GCC,相关表单”,所需相关文档,测试计划表,测试表,测试表,抽样测试表,4,依据系统实际情况明确样本总体、确定样本数量，编制测试计划,依据测试计划表，结合地域企业实际情况，完善测试表中“测试详细步骤”,将符合性检验结果与“不符合控制要求条件”进行比对，分析是否存在例外情况，填写符合性检验结论，更新测试计划表,执行详细符合性检验步骤，开展访谈、取得符合性检验证据文档，对符合性检验证据进行抽样符合性检验，检验符合性检验证据是否全方面、完整，是否与实际一致,测试表,测试计划表,中国石油信息系统总体控制符合性检查培训,第18页,符合性检验说明样例-步骤一,1,依据系统实际情况明确样本总体、确定样本数量，编制测试计划,中国石油信息系统总体控制符合性检查培训,第19页,符合性检验说明样例-步骤二,2,依据测试计划表，结合地域企业实际情况，完善测试表中“测试详细步骤”,中国石油信息系统总体控制符合性检查培训,第20页,符合性检验说明样例-步骤三,3,执行详细符合性检验步骤，开展访谈取得符合性检验证据文档，对符合性检验证据进行抽样符合性检验，检验符合性检验证据是否全方面、完整，是否与实际一致,中国石油信息系统总体控制符合性检查培训,第21页,符合性检验说明样例-步骤四,4,将符合性检验结果与“不符合控制要求条件”进行比对，分析是否存在例外情况，填写符合性检验结论，更新测试计划表,中国石油信息系统总体控制符合性检查培训,第22页,编写符合性检验工作底稿,将填写测试计划表，测试表和抽样测试表以及相关表单与证据及其它资料进行搜集，按要求编写装订成册,表单、会议纪要、相关材料等,工作,底稿,中国石油信息系统总体控制符合性检查培训,第23页,符合性检验汇总工作,对各单位符合性检验情况进行汇总并分析,汇总全部地域企业符合性情况包含各地域企业在检验中被发觉问题等,按统一标准进行分析,针对分析汇报给出深入整改提议,编写对应整改提议,写出符合性检验汇报,依据汇总情况、问题以及编写整改提议，编写符合性检验汇报,中国石油信息系统总体控制符合性检查培训,第24页,目录,第一章,-,背景及基础知识,第二章,-,符合性检验工作程序,第三章,-,怎样进行表单检验,第四章,-,怎样编制工作底稿,第五章,普遍性问题检验方法,中国石油信息系统总体控制符合性检查培训,第25页,怎样检验表单填写正确性,注意表单填写内容是否完整,表单编号是否完整,是否有空格,是否有签字,注意表单填写表单号是否符合要求,填表日期确实定：假如发生一张表空格足够填多条统计，而造成无法确定日期情况，按表单第一条统计时间填写日期。,序号确实定：按日期来排序，日期发生变更后，序号从头开始重新排列,表单编号要保持唯一性，一个编号对一张表单,注意签字字迹以及填写人是否正确,签字人是否符合要求,签字字迹是否有前后矛盾,中国石油信息系统总体控制符合性检查培训,第26页,怎样检验表单填写正确性,注意需要手工填写内容,署名必定需要手工填写,许多日志检验等内容都以手工填写为好,注意表单填写内容是否符合逻辑,表单叙述内容不符合逻辑,有些表单需要填写多条日期，各个日期联络不符合逻辑,注意表单填写内容与实际情况是否一致,访谈了解情况,检验相关文本证据,进入系统实际检验,实地检验,中国石油信息系统总体控制符合性检查培训,第27页,怎样检验有相互关联表单,特权用户登记立案表和全部相关要求特权用户署名表格,特权用户登记立案表和众多表格有相互关联，因为许多表格实施人，检验人等都是特权用户所以各大类中众多表单签字这一栏姓名与特权用户登记立案表应不存在任何矛盾,设备巡检统计表与机房出入记录表,设备巡检工作是需要进出机房，所以巡检统计表上时间以及检验人必须能在机房出入记录表中得到表达,机房出入记录表和进入机房授权人员名单匹配,机房出入记录表中授权人员进出机房是自己署名授权，需要察看记录表中自己署名授权人员是否都在进入机房授权人员名单中有表达,远程登陆账号申请表与远程登陆权限检验表,远程登陆权限检验表内容是从系统实际情况出发，需要在远程登陆账号申请表中有所表达,中国石油信息系统总体控制符合性检查培训,第28页,怎样检验有相互关联表单,批处理作业清单，批处理作业详细说明书，批处理作业统计表,批处理作业清单，批处理作业详细说明书，批处理作业统计表中作业号，使用计算机以及状态等内容要对应,备份作业清单，备份作业详细说明书，备份统计表,备份作业清单，备份作业详细说明书，备份统计表中作业编号，状态等要对应,备份恢复符合性检验统计表，备份恢复管理表,因为两表分别针对符合性检验环境和生产环境。两张表中步骤应该比较相同，不过应该有所区分,信息系统故障处理帮助热线支持人员联络表，问题统计日志表，问题分类汇总月报表,问题统计日志表中统计人，署名以及问题分类汇总月报表中提交人应该都在信息系统故障处理帮助热线支持人员中有所对应。,问题统计日志表与问题分类汇总月报表中问题数量以及处理情况应该完全对应。,日常巡检以及日志检验中发觉问题选择转问题处理也需要填写问题统计并汇总到月报表中,中国石油信息系统总体控制符合性检查培训,第29页,怎样检验有相互关联表单,变更统计表，变更申请表，变更实施表,变更统计表与变更申请表中变更名称要对应。,3,张表内以及表间填写日期要符合逻辑先后次序。,电子表格记录表，电子表格变更申请表，电子表格开发申请表,电子表格记录表内容要与电子表格变更申请表和电子表格开发申请表对应。,信息资产清单与机房设备清单,即使作为机房巡检附件机房设备清单不是统一表单，不过其中内容一定要与信息资产清单里内容相符合。,中国石油信息系统总体控制符合性检查培训,第30页,目录,第一章,-,背景及基础知识,第二章,-,符合性检验工作程序,第三章,-,怎样进行表单检验,第四章,-,怎样编制工作底稿,第五章,普遍性问题检验方法,中国石油信息系统总体控制符合性检查培训,第31页,编制工作底稿分为搜集、打印、装订,搜集资料,按符合性检验程序，经过访谈、搜集书面证据、实地检验和上机实际检验方法进行符合性检验。,经过测试计划表明确需填写测试表以及需察看抽样测试表，并取得相关表单以及支持表单真实性或者关键控制点证据。,经过证据验证表单真实性和个别控制点控制合理性，再由搜集上来表单情况填写抽样测试表，汇总到测试表和测试计划表,打印,打印上述全部资料和表单，证据，并编制索引和封面等,装订,按封面，索引，资料，,6,大分类分别以测试计划表，测试表，抽样测试表，表单，证据次序加以装订（各个分类间加一页分割页，每页需要有,Reference,地方标上,Reference,）,中国石油信息系统总体控制符合性检查培训,第32页,工作底稿由5大部分组成：,工作底稿,索引,封面,分隔页,主要内容,Reference,资料：企业介绍，岗位角色列表，通讯录，符合性检验情况分析，问题统计，访谈统计，会议统计,测试表，抽样测试表，表单，其它检验证据,中国石油信息系统总体控制符合性检查培训,第33页,编制工作底稿三个注意点,注意一一对应,注意署名,注意,Reference,中国石油信息系统总体控制符合性检查培训,第34页,第一，注意要一一对应,在工作底稿中要表达出一套完整从符合性检验计划到最终详细证据表单证据链。从测试计划表出发，经过访谈，实地检验等方法完成测试表并搜集表单和证据。,测试计划表,测试表,抽样测试表,表单,证据,需求和取得,反馈和验证,中国石油信息系统总体控制符合性检查培训,第35页,第二，注意全部署名,署名检验方法能够用分为三步：,检验是否有署名,检验署名是否全,比如测试表需要,4,人以上署名：被访谈人，符合性检验人，审核人，,GCC,责任人,检验署名是否正确，,比如检验字迹是否一致和对应署名人是否正确,中国石油信息系统总体控制符合性检查培训,第36页,第三，注意Reference写法,编码规则：,测试表和抽样测试表为一类按,相关关键控制点编号加后缀（,1,）,（,99,）,规则来编写，先编测试表编号，后编抽样测试表编号，第二张开始只需要填写后缀部分,比如关键控制点编号为,GCC-AQ-7,测试表,Reference,编号,为,GCC-AQ-7,（,1,），（,2,）,抽样测试表,Reference,编号,为,（,3,）,表单以及相关支持书面证据按,相关关键控制点编号加,-099+,后缀（,1,）,(99),规则来编写，,次序按表单,1,，表单,1,相关证据，表单,2,，表单,2,相关证据,，每个表单以及相关证据假如超出,1,张，第二张开始只需要填写后缀部分,比如关键控制点编号为,GCC-AQ-8,表单一共有,3,张那他们,Reference,编号,就分别为,GCC-AQ8-01,，,GCC-AQ8-02,，,GCC-AQ8-03,。假如表单以及相关书面证据超出一张时候就在后面加,后缀,（,1,），（,2,）,(99),中国石油信息系统总体控制符合性检查培训,第37页,颜色,：,统一用红色进行编写,位置,：,有两种情况,需要提醒可参见其它资料时,Reference,位置,在,需要,提醒地方编写,供被调用时本身,Reference,编码位置：,纵向,打印纸张：右上方,横向,打印纸张：折叠后右上方,写Reference注意点,中国石油信息系统总体控制符合性检查培训,第38页,打印工作底稿需要注意以下打印要求,打印要求,全部格子需要居中,注意页眉页脚，在页脚。在页脚处加上打印时间,假如是分多页打印表格，比如测试计划表，那么标题需要重复打印,注意打印时方向问题，要分横向，纵向进行打印,中国石油信息系统总体控制符合性检查培训,第39页,在页脚中加时间,File,Page Setup,在,Page Setup,对话框里选,Header/Footer,选项卡,点击,Custom Footer,Custom Footer,中国石油信息系统总体控制符合性检查培训,第40页,在页脚中加时间,按下面图示将按钮放到空白框内，并做对应设置，使页脚符合要求,中国石油信息系统总体控制符合性检查培训,第41页,保留标题打印,File,Page Setup,在,Page Setup,对话框里选,Sheet,选项卡,按实际情况进行配置,（例子中,Rows to Repeat at the Top,中,$1:$1,是指重复在顶部打印第一行，,Columns to Repeat at the Left,中,$A:$B,是指重复在左边打印第,A,列和第,B,列）,中国石油信息系统总体控制符合性检查培训,第42页,按要求进行工作底稿装订,装订要求：纵向装订,注意：要求工作底稿要求纵向装订。全部横向打印资料，要求左上角对齐后，将宽出部分逆时针折叠，与纵向材料宽度一致。如图所表示：,中国石油信息系统总体控制符合性检查培训,第43页,目录,第一章,-,背景及基础知识,第二章,-,符合性检验工作程序,第三章,-,怎样进行表单检验,第四章,-,怎样编制工作底稿,第五章,普遍性问题检验方法,中国石油信息系统总体控制符合性检查培训,第44页,问题一：GIT-4.2 职责分离,检验内容,检验方法,检验该单位信息安全管理责任人是否定时（每六个月）审核本单位信息系统总体控制活动职责分离情况，并填写,职责分离检验表,，是否将不符情况报相关责任人。,包含：,应用系统管理员与操作系统管理员是否分离；应用系统管理员与数据库系统管理员是否分离；业务系统使用人员与系统管理人员是否分离；信息系统管理活动操作者与授权者是否分离；系统程序开发人员与系统使用人员是否分离；系统程序开发人员与系统管理人员是否分离,访谈信息安全管理责任人，了解该单位信息系统总体控制职责分离管理情况；,取得全部,职责分离检验表,，抽样检验表单是否经过了信息安全管理责任人审核签字，是否统计了例外情况；,检验纳入范围系统中是否实现了角色分离；,填写相关测试表单。,中国石油信息系统总体控制符合性检查培训,第45页,问题二：GIT-31 电子表格,检验内容,检验方法,检验电子表格是否存放在文件服务器受到保护路径目录下，并对电子表格存放目录权限进行控制。,访谈电子表格责任人，了解电子表格管理情况，确定电子表格存放管理相关人员，并取得电子表格汇总表,；,访谈这些人员，了解电子表格存放管理工作方法和流程,；,确定样本数量：依据抽样标准从电子表格汇总表中随机抽取样本,；,登陆文件服务器，检验抽取样本表格存放目录属性及是否设置了权限控制。,电子表格范围及责任人还未确定，电子表格控制还有大量工作未完成,中国石油信息系统总体控制符合性检查培训,第46页,问题二：GIT-31 电子表格（续）,检验内容,检验方法,检验主要和普通电子表格变更是否严格遵照申请、授权、测试和同意完整过程。,访谈电子表格责任人，了解电子表格变更管理情况，确定电子表格变更管理中包括相关人员，取得电子表格汇总表,；,访谈这些人员，了解电子表格变更完整过程,；,确定样本总体：统计全部电子表格汇总表包含电子表格整年共发生了多少次变更活动，作为样本总体,；,确定样本数量：依据抽样标准随机抽取样本，取得电子表格变更申请表、电子表格记录表及相关过程文档,；,检验申请表内容填写是否符合要求，是否有电子表格责任人审批签字,；,检验变更测试文档是否经过用户签字确认,检验记录表是否及时进行了更新，是否能够对应到对应申请表。,中国石油信息系统总体控制符合性检查培训,第47页,问题二：GIT-31 电子表格（续）,检验内容,检验方法,检验主要电子表格是否定时备份，模板备份存放在文件服务器指定文件夹中，数据备份由用户各自进行，依据使用频率决定备份周期。每年对主要电子表格进行存档，将其存入独立存放介质，并设置为只读模式。,访谈电子表格责任人，了解电子表格备份管理情况，确定电子表格备份工作包括相关人员，并取得电子表格汇总表,；,访谈这些人员，了解电子表格存放管理工作方法和流程,；,确定样本数量：依据抽样标准从电子表格汇总表中随机抽取主要电子表格样本,；,检验主要电子表格模板是否进行了备份，并存放在了指定文件服务器文件夹中,；,检验主要电子表格最终用户是否对数据进行了定时备份,；,检验主要电子表格是否每年在独立存放介质中进行存档，并被设置为只读模式。,中国石油信息系统总体控制符合性检查培训,第48页,问题三：GIT-16.2 第三方管理,检验内容,检验方法,检验在第三方需要访问中国石油应用系统生产环境时，是否填写,用户帐号及权限管理表,，说明帐号使用时间和期限，并得到相关业务部门主管领导同意。访问结束或访问期限到期，应用系统管理员是否及时收回对应访问权限,访谈信息技术部门责任人和应用系统责任人，了解系统有没有第三方人员访问，并确定检验人员。,确定样本总体：统计整年纳入范围应用系统第三方用户,数，并察看是否全部第三方用户都填写了,用户帐号及权限管理表。,确定样本数量：依据抽样标准随机抽取样本，检验对应,用户帐号及权限管理表。,检验样本表单内容填写是否符合要求，是否有主管领导审批签字。,假如第三方用户已到期限，查看是否有对应管理表进行权限撤消，查看撤消日期与期限是否一致。,检验样本表单中第三方用户申请帐号、权限与对应系统中实际情况是否一致。,中国石油信息系统总体控制符合性检查培训,第49页,问题四：GIT-28.1 备份,检验内容,检验方法,检验应用系统责任人是否指定人员依据应用系统主要程度，制订备份和恢复策略，填写,备份作业清单,及,备份作业详细说明书,，并经过应用系统责任人审批,访谈应用系统责任人，了解备份和恢复策略管理情况，确定制订人员。,访谈备份和策略制订人员，了解其工作方法和流程，取得相关工作统计和表单。,确定样本总体：统计全部纳入范围系统备份作业，作为样本总体。,检验是否全部备份作业都登记在备份作业清单中，并编制备份作业详细说明书。,依据抽样标准随机抽取样本，检验备份作业清单和备份作业详细说明书填写是否符合要求，是否有审核人员或备份验证人员签字确认。,中国石油信息系统总体控制符合性检查培训,第50页,问题五：GIT-5.1 数据库直接访问,检验内容,检验方法,检验用户需要直接访问系统中数据时是否都提出申请并在取得用户主管领导和应用系统责任人审批后执行。,访谈应用系统责任人，了解数据直接访问情况。,访谈数据库管理员，了解数据直接访问情况，取得相关,数据直接访问申请表,。,确定样本总体：统计整年共有多少次纳入范围系统数据直接访问活动，作为样本总体，并检验是否每次访问活动都有一份直接访问申请表。,确定样本数量：依据抽样标准随机抽样，并检验对应,数据直接访问申请表,。,取得样本表单，检验表单填写是否符合要求，是否有适当审批。,经过查看日志等方法查看申请表是否与实际情况相符。,中国石油信息系统总体控制符合性检查培训,第51页,问题六：GIT-7.2 权限检验,检验内容,检验方法,检验应用系统责任人是否每三个月审核数据库管理员和操作系统管理员账号及权限设置。,访谈纳入范围系统应用系统责任人，了解对操作系统管理员和数据库管理员权限检验情况，确定操作系统管理员和数据库管理员。,访谈操作系统管理员和数据库管理员，了解不符帐号和权限修正过程。,访谈信息安全管理责任人，取得对纳入范围系统相关操作系统、数据库权限检验表。,检验权限检验表内容填写是否符合要求，是否有应用系统责任人审核签字。,检验表单中检验结果与系统中实际情况是否一致。,检验是否对检验结果不符合要求情况进行更正，是否有应用系统责任人签字确认。,中国石油信息系统总体控制符合性检查培训,第52页,