2015年，江蘇省南通市審計(jì)局在對(duì)南通第四人民醫(yī)院實(shí)施信息系統(tǒng)審計(jì)時(shí)，通過(guò)“克隆系統(tǒng)，創(chuàng)新思路”，探索出一套全新的信息系統(tǒng)審計(jì)方法。

“克隆”系統(tǒng)，解除索縛

眾所周知，開(kāi)展信息系統(tǒng)審計(jì)，必須對(duì)被審計(jì)單位信息系統(tǒng)進(jìn)行必要的測(cè)試。但測(cè)試可能會(huì)影響被審計(jì)單位信息系統(tǒng)正常運(yùn)行，甚至對(duì)系統(tǒng)安全產(chǎn)生威脅。因此，審計(jì)人員審計(jì)時(shí)總是放不開(kāi)手腳。

該次審計(jì)，審計(jì)組經(jīng)過(guò)協(xié)調(diào)，爭(zhēng)取到被審計(jì)單位的技術(shù)支持，在一臺(tái)高性能服務(wù)器上安裝起被審計(jì)單位業(yè)務(wù)系統(tǒng)和財(cái)務(wù)系統(tǒng)，審計(jì)人員將工作電腦通過(guò)交換機(jī)與該服務(wù)器組建成一個(gè)局域網(wǎng)。“克隆”出一個(gè)與生產(chǎn)系統(tǒng)完全一致的信息系統(tǒng)環(huán)境。這樣，審計(jì)人員就不用再擔(dān)心審計(jì)數(shù)據(jù)查詢分析拖慢被審計(jì)單位信息系統(tǒng)，可以放手運(yùn)行各種軟件對(duì)其進(jìn)行全面審計(jì)。

巧用“客戶端”，提高審計(jì)速度

原本要花費(fèi)大量的時(shí)間、精力，破解被審計(jì)單位數(shù)據(jù)庫(kù)的庫(kù)結(jié)構(gòu)，進(jìn)行較長(zhǎng)時(shí)間數(shù)據(jù)重組，才能得到所需數(shù)據(jù)。在該次審計(jì)中，審計(jì)人員通過(guò)在工作電腦上安裝運(yùn)行被審計(jì)單位業(yè)務(wù)系統(tǒng)和財(cái)務(wù)系統(tǒng)的客戶端軟件，迅速實(shí)現(xiàn)了業(yè)務(wù)系統(tǒng)報(bào)表數(shù)據(jù)和財(cái)務(wù)系統(tǒng)報(bào)表數(shù)據(jù)核對(duì)，找出了業(yè)務(wù)數(shù)據(jù)與財(cái)務(wù)數(shù)據(jù)的差異，并根據(jù)差異利用數(shù)據(jù)庫(kù)客戶端軟件確定審計(jì)疑點(diǎn)，發(fā)現(xiàn)了被審計(jì)單位未能在各子系統(tǒng)之間實(shí)現(xiàn)數(shù)據(jù)關(guān)聯(lián)與業(yè)務(wù)控制，費(fèi)用結(jié)算模塊控制不完善，存在重復(fù)收費(fèi)；部分業(yè)務(wù)收入未納入系統(tǒng)管理，導(dǎo)致財(cái)務(wù)數(shù)據(jù)與業(yè)務(wù)數(shù)據(jù)不一致等問(wèn)題，審計(jì)速度提高了數(shù)倍。

借助檢測(cè)設(shè)備，增強(qiáng)系統(tǒng)安全性

醫(yī)院的路由、交換、服務(wù)器、工作站等硬件設(shè)備的安全性是醫(yī)院管理人員重點(diǎn)關(guān)注的內(nèi)容，也是審計(jì)人員著重關(guān)心的審計(jì)內(nèi)容。往年審計(jì)時(shí)，因人員和時(shí)間的限制，審計(jì)人員往往抽取部分設(shè)備，檢測(cè)其工作日志和管理記錄，無(wú)法準(zhǔn)確全面地提示安全問(wèn)題所在。

在該次審計(jì)中，審計(jì)人員借助一臺(tái)名為“遠(yuǎn)程安全評(píng)估系統(tǒng)”的硬件設(shè)備，旁路接入醫(yī)院在線運(yùn)行的網(wǎng)絡(luò)系統(tǒng)中，通過(guò)主動(dòng)檢測(cè)方式，檢測(cè)出系統(tǒng)存在“遠(yuǎn)程桌面協(xié)議RDP遠(yuǎn)程代碼可執(zhí)行漏洞”等2個(gè)高危險(xiǎn)漏洞、18個(gè)中危險(xiǎn)漏洞。借助該設(shè)備，審計(jì)人員完成系統(tǒng)安全審計(jì)，提高了審計(jì)效率，節(jié)省了審計(jì)資源；醫(yī)院也及時(shí)得到反饋信息，根據(jù)解決方案做出了相應(yīng)的升級(jí)，增強(qiáng)了系統(tǒng)的安全性。（劉建坤）