积极生产运维审计 有效降低银行科技风险
2021-08-03 21:01:00  来源:江南时报  作者:周星  
1
听新闻

  周星

  信息科技运行维护是信息系统生命周期中的重要阶段,对系统主要提供维护和技术支持以及其他相关的支持和服务,良好的信息科技运维能够减少生产突发事件发生的频率,有效降低银行科技风险,因而,生产运维审计作为信息科技审计中的一环,其重要性不容忽视。生产运维审计的主要内容包括运行维护组织架构管理、事件及问题管理、变更管理、配置管理、性能容量管理、版本管理、堡垒机管理、安全监控管理以及日志管理等等,本文针对其中的性能容量管理、安全监控管理以及版本管理,提出若干较实用的审计方法供业内人士参考。

  一、性能容量管理

  系统性能容量指的是反映系统运行状况的一系列指标,如主机CPU、吞吐量、内存等,对这方面的审计,一是可以调阅一段时间内生产系统突发事件及问题清单,找出所有由于系统性能容量问题导致的事件,进而确定系统名称,再检查其性能容量分析是否缺失或扩容不及时;二是针对这些系统,检查日常是否监控系统性能容量,监控中对其设置的阈值是否合理有效,在容量超阈值时是否能够及时报警,并对报警情况进行分析,及时提出解决方案。

  二、安全监控管理

  一是可以实地检查所有重要信息系统是否纳入监控系统,是否实现了7×24小时实时监控;二是了解监控系统对重要信息系统监控指标的设置依据,同时结合由于性能容量问题导致的生产系统突发事件,分析其监控指标的设置是否合理,例如,某系统由于连接数过多导致超时,在连接数达到2000时系统运行缓慢,可以从监控系统查看对其系统的指标监控是否包含连接数,同时连接数的阈值是否小于等于2000;三是现场抽查若干天的预警,并做穿行测试,发现预警处理流程中存在的风险点。

  三、版本管理

  系统版本控制最主要的功能是追踪文件的变更,它记录文件的变更时间及内容,每一次文件的改变,版本号将增加。对这方面的审计,一是可以抽取重要信息系统一段时间内的系统变更记录,同时从版本管理服务器内调出相同时间段内的版本变更记录,将两个记录相比对,检查系统上线后其版本是否进行变更;二是调阅一段时间内生产系统突发事件及问题清单,检查是否由于版本错误导致的问题;三是抽检重要信息系统的系统版本,检查是否为淘汰版本。

  (作者单位苏州农村商业银行)

标签:版本;管理;审计
责编:滕方