某企业信息科技风险评价审计服务.docVIP

某企业信息科技风险评价审计服务 1.服务背景 为了有效管理银行业金融机构的信息科技风险，促进我国银行业安全、持续、稳定运行，根据《银行业金融机构信息系统风险管理指引》和《银行业金融机构内部审计指引》的有关规定，2006年11月中国银行业监督管理委员会办公厅发布了《关于开展2006年度信息科技风险内部和外部评价审计的通知》（以下简称313号文件），要求银行业金融机构进行信息科技风险内部和外部评价审计工作。 为配合313号文件的有效实施，基于我公司对银行业金融机构信息系统风险的深入研究，以及与国家相关部门的合作基础，某为银行业金融机构提供信息科技风险评价审计服务。 ? 2.服务定义 某银行业金融机构信息科技风险评价审计指基于313号 文件的评价审计要点，采用科学、系统的方法对被审计单位当前信息科技治理和组织结构、信息安全管理、信息科技项目开发和变更管理、信息系统运行和操作管 理、业务持续性规划等方面的安全状况进行评价审计，以了解信息科技系统发展建设、运行和管理等状况，综合分析存在的风险和主要问题，并提出相应的整改建 议。 ? 3.服务内容 某银行业金融机构信息科技风险评价审计服务包括如下内容： 1)?????确定评价审计的目标和以及相应的审计范围对象； 2)?????通过文档审阅、脆弱性扫描、本地审计、人员访谈、现场观测等方式，获得审计范围内管理、主机、网络、应用等方面与信息科技风险相