浅谈大数据环境下的信息系统审计

“大数据”作为时下最火热的IT行业词汇，随之而来的数据仓库、数据安全、数据分析、数据挖掘等围绕大数据的应用逐渐成为各行业讨论的焦点。
另一方面信息系统审计也是处于迅猛的发展期，审计署高度重视信息系统审计工作，2001年发布了《关于利用计算机信息系统开展审计工作有关问题的通知》、2004年发布了《独立审计具体准则第20号--计算机信息系统环境下的审计》、2008年发布了《内部审计具体准则第28号--信息系统审计》等一系列文件，同时每年组织实施信息系统审计项目，取得了一定的成效。
信息系统审计、计算机审计技术的发展和被审计单位信息化发展相辅相成，如何在大数据的环境下开展信息系统审计是审计人员值得深入探讨研究的问题。
要想解决如何在大数据环境下开展信息系统审计，必须要了解大数据的来源和状态，解决大数据是什么、大数据能干什么、我们面临怎样的大数据环境，进而解决我们如何利用大数据为信息系统审计服务的问题。
一、大数据的概念
大数据(big data)，或称巨量资料，指的是所涉及的资料量规模巨大到无法透过目前主流软件工具，在合理时间内达到撷取、管理、处理、或整理成为帮助决策者决策的可用信息。
大数据具有4V特点：Volume（体量）、Velocity（速度）、Variety（种类）、Value（价值）。第一，数据体量巨大，从TB级别，跃升到PB级别。第二，处理速度快，1秒定律，这一点也是和传统的数据挖掘技术有着本质的不同。第三，数据类型繁多，有网络日志、视频、图片、地理位置信息等多种形式。第四，价值密度低，商业价值高。以视频为例，连续不间断监控过程中，可能有用的数据仅仅有一两秒。

从某种程度上说，大数据是数据分析的前沿技术。简言之，从各种各样类型的数据中，快速获得有价值信息的能力，就是大数据技术。
二、信息系统审计与大数据的关系
各类的信息系统产生了各种各样的信息流和数据流，信息系统是孕育数据的“母体”，正是因为信息系统的大爆炸造就了大数据时代的到来。另一方面，大数据时代反过来又催生了更加复杂更加庞大的信息系统。
信息系统审计是审计的一个分支，是以信息系统为对象的审计，通过对信息系统的审计，审计人员对信息系统的某个或某几个方面形成判断或发表意见。开展信息系统审计，需要对参与整个“信息系统生态圈”中的每个要素进行审计，这些要素包括人、信息、数据、物品（各种设备）、以及控制和服务等，并对这些要素的可用性、保密性、完整性和有效性进行评价。
在整个“信息系统生态圈”中“电子数据”是“信息系统”所要加工的原料，中国目前有一个很重要的特性就是人口基数的特别大，中国消费群体所产生的这种数据量，例如社保数据、国有企业数据是十分巨大的，而且呈现出结构化和半结构化特征，随着大数据时代的到来，越来越多的被审计单位（例如社保部门、大型国有企业、相关政府职能部门等）逐步建立了大规模并行处理（MPP）数据库、数据挖掘电网、分布式文件系统、分布式数据库、云计算平台、互联网和可扩展的存储系统。这些现状对开展信息系统审计提出了更高的要求，也是更大的挑战，需要在开展信息系统审计过程中使用新的技术手段和新的审计方法以达到审计目标。
三、大数据对传统信息系统审计流程的影响
被审计单位信息化发展使开展信息系统审计面临新的挑战，特别是大数据环境下，企业信息系统不仅仅是一个孤立的系统，而是集财务、人事、供销、生产为一体的综合性的信息系统。

在大数据环境下开展信息系统审计，往往面临审计对象多、任务重、违法违规普遍的问题，传统的信息系统审计方法和流程严重不适应。
（一）在大数据环境下总体控制审计、一般控制审计和应用控制审计。总体控制审计、一般控制审计和应用控制审计是开展信息系统审计的主要内容。
1.总体控制审计主要针对外部规章制度、被审计单位基本情况、信息系统基本情况、IT治理架构体系、IT战略规划、信息投资政策及内部风险控制等等。在大数据环境下，因为大数据4V的特点，信息系统审计此环节的各要素会十分的纷繁复杂，所需要调查了解的事项呈几何级增长，需要设计更多的细分表格来调查了解。
2.一般控制审计是检查确保信息系统正常运行的制度和工作程序，包括安全管理控制审计、访问控制审计、配置管理审计、职责分离和应急计划审计等。在大数据环境下，同样给一般控制审计带来了新的挑战，为了保障海量数据的安全有效，必然建立庞大的组织体系和管理体系，安全策略也会更加的专业和复杂，这就对审计人员的素质提出了更高的要求，需要审计人员具有更加专业化的业务背景。例如审计人员必须要了解信息安全等级划分、相关IT安全技术、信息安全管理体系方面的知识。
3.应用控制审计主要包括业务流程控制审计和数据控制审计两个方面。在大数据环境下，首先是为了保证海量数据的正确、安全和有效，信息系统的业务流程控制和数据控制环节会很多，而且每一个控制环节本身也会很复杂，各个控制环节之间的逻辑关系更加缜密，针对这样的情况，如何使用有效的技术方法，高效检查输入/输出控制、处理控制、接口控制以及数据库管理系统控制、数据逻辑控制，成为审计人员必须面对的难题。
（二）在大数据环境下的信息系统审计技术方法。审计技术方法和工具，伴随着审计工作的发展而不断发展，目前来说，已经形成了众多有效的技术方法和工具。如观察、访谈、文件评审、听取报告，以及业务流程描述法、测试数据法、平行模拟测试法、受控处理、综合测试法等方法。使用的工具如现场审计实施系统（AO）、通用审计软件、数据库工具、系统和网络漏洞扫描、日志审计等。
在大数据环境下，传统的很多方法显得效率低下和无法实施，信息系统审计技术方法和工具必须进行更新。
大数据时代的超大数据体量和占相当比例的半结构化和非结构化数据的存在，已经超越了传统数据库的管理能力，大数据本质也是数据，其关键的技术依然逃不脱大数据存储和管理和大数据检索使用（包括数据挖掘和智能分析）。围绕大数据，一批新兴的数据挖掘、数据存储、数据处理与分析技术将不断涌现，让我们处理海量数据更加容易。在开展信息系统审计中，必然要使用到云计算、分布式结构、云数据库、联网审计、数据挖掘等新型的技术手段和工具。 
四、大数据环境下信息系统审计发展方向
数据规模越大，处理的难度也越大，但对其进行挖掘可能得到的价值更大，从另一方面来看，未来信息系统审计的发展方向就是如何挖掘具有价值的数据为审计所用。大数据环境下的信息系统审计, 必然是信息系统审计发展的方向之一，这是一个崭新的领域, 还没有形成一套行之有效的评判标准, 审计的对象、要求、内容、方式均有别于以往任何审计, 难度、风险和压力可想而知。
放眼未来之路, 如何探索大数据环境下的信息系统审计之路, 需要更好地适应环境, 突出可操作性。顺应时代发展、提高自身素质、坚持技术创新, 只有掌握了审计领域的先进生产技术, 才能更好地履行监督职责, 维护法制尊严, 维护国家和人民的利益。（金统）