會(huì)計(jì)信息系統(tǒng)安全與風(fēng)險(xiǎn)防范教材-文庫吧
2025-02-12 17:04 本頁面
【正文】 rity）。這一屬性要求信息沒有在未經(jīng)授權(quán)的情況下被篡改，確保信息在傳輸過程中保持一致。 （ 3） 保密性 （ Confidentiality）。這一屬性要求信息在未經(jīng)授權(quán)的情況下被泄露出去，只有經(jīng)過認(rèn)證的人員才可以獲取保密的信息。 （ 4） 可用性 （ Availability）。這一屬性要求合法用戶可以及時(shí)、正確地取得所需的信息。 （ 5） 不可否認(rèn)性 （ Nonrepudiation）。這一屬性要求信息的傳輸、處理和存儲(chǔ)過程有據(jù)可查，不能否認(rèn)過去真實(shí)發(fā)生的對(duì)信息的訪問和操作。 三、信息系統(tǒng)安全等級(jí)劃分 根據(jù)我國國家質(zhì)量技術(shù)監(jiān)督局于 1999頒布的 《 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 》 （ GB17859— 1999），信息系統(tǒng)安全保護(hù)能力劃分為用戶自主保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)、訪問驗(yàn)證保護(hù)級(jí)等五個(gè)由低到高的等級(jí)。 （一）幾個(gè)重要的概念 （ 1）計(jì)算機(jī)信息系統(tǒng) 可信計(jì)算基 （ TCB）是指計(jì)算機(jī)系統(tǒng)內(nèi)部保護(hù)裝置的總體，包括硬件、軟件和負(fù)責(zé)執(zhí)行安全策略的組合體。 （ 2） 安全策略 （ Security Policy）是指有關(guān)管理、保護(hù)和發(fā)布敏感信息的法律、規(guī)定和實(shí)施細(xì)則。 （ 3）隱蔽通道（ Covert Channel）是指允許進(jìn)程以危害系統(tǒng)安全策略的方式，來傳輸信息的通信信道。 （ 4）訪問監(jiān)視器（ Reference Monitor）是指監(jiān)控主體和客體之間授權(quán)訪問關(guān)系的部件。 （ 5）主體（ Subject）是指引起信息在客體之間流動(dòng)的人、進(jìn)程或設(shè)備等；客體是指信息的載體。 （二）信息系統(tǒng)安全等級(jí)的內(nèi)容 第一級(jí)： 用戶自主保護(hù)級(jí) 。這一等級(jí)的 TCB，通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力。 第二級(jí)： 系統(tǒng)審計(jì)保護(hù)級(jí) 。這一等級(jí)的 TCB，實(shí)施了比用戶自主保護(hù)級(jí)精度更細(xì)的自主訪問控制，通過登錄規(guī)程、審計(jì)安全性相關(guān)事件和隔離資源，使用戶對(duì)自己的行為負(fù)責(zé)。 第三級(jí)： 安全標(biāo)記保護(hù)級(jí) 。這一等級(jí)的 TCB，具有系統(tǒng)審計(jì)保護(hù)級(jí)的所有功能并有所擴(kuò)展，提供了基本的強(qiáng)制訪問功能。這一級(jí)的信息系統(tǒng)應(yīng)提供安全策略模型、數(shù)據(jù)標(biāo)記以及主體對(duì)客體強(qiáng)制訪問控制的非形式化描述，具有準(zhǔn)確地標(biāo)記輸出信息的能力，并能消除通過測(cè)試發(fā)現(xiàn)的任何錯(cuò)誤。 第四級(jí)： 結(jié)構(gòu)化保護(hù)級(jí) 。這一等級(jí)的 TCB，建立在一個(gè)明確定義的形式化安全策略模型之上，要求將第三級(jí)中的自主和強(qiáng)制訪問控制擴(kuò)展到所有主體與客體，并考慮隱蔽通道。這一等級(jí)加強(qiáng)了鑒別機(jī)制，支持系統(tǒng)管理員和操作員的職能，提供可信設(shè)施管理，增強(qiáng)了配置管理控制，系統(tǒng)具有相當(dāng)?shù)目節(jié)B透能力。 第五級(jí)： 訪問驗(yàn)證保護(hù)級(jí) 。這一等級(jí)的 TCB，應(yīng)能夠滿足訪問控制器的需求，訪問控制器負(fù)責(zé)仲裁主體對(duì)客體的全部訪問。這一等級(jí)的信息系統(tǒng)應(yīng)支持安全管理員職能，擴(kuò)充審計(jì)機(jī)制，當(dāng)發(fā)生與安全相關(guān)的事件時(shí)發(fā)出信號(hào)，并提供系統(tǒng)恢復(fù)機(jī)制；系統(tǒng)具有很高抗?jié)B透能力。 四、我國信息安全的發(fā)展態(tài)勢(shì) （ 1）國內(nèi)需求與日俱增。防火墻、智能卡安全產(chǎn)品、網(wǎng)絡(luò)安全檢測(cè)產(chǎn)品、身份認(rèn)證產(chǎn)品、CA產(chǎn)品、網(wǎng)絡(luò)監(jiān)視產(chǎn)品，特別是網(wǎng)絡(luò)安全的綜合解決方案、網(wǎng)絡(luò)安全集成系統(tǒng)等市場(chǎng)生機(jī)勃勃。 （ 2）政府日益重視，加大支持力度 （ 3）一門新興學(xué)科已經(jīng)崛起 （ 4）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則的實(shí)施 五、信息安全發(fā)展的走向 （ 1） Inter的發(fā)展態(tài)勢(shì)：優(yōu)質(zhì)服務(wù) （ 2）新技術(shù)不斷涌現(xiàn)：密碼學(xué) （ 3）控制還是放開？ （ 4）立法問題更加突出：電子簽名法、加密立法、電子證據(jù)立法、高科技犯罪立法等 （ 5）呼吁標(biāo)準(zhǔn)先行：有關(guān) Inter安全協(xié)議和標(biāo)準(zhǔn)、電子商務(wù)安全協(xié)議和標(biāo)準(zhǔn)、CC標(biāo)準(zhǔn)以及我國金卡工程安全規(guī)范等 （ 6）螺旋式前進(jìn) 六、會(huì)計(jì)信息系統(tǒng)的安全性評(píng)價(jià) （ 1）安全問題是多方位的 （ 2）安全問題是動(dòng)態(tài)的 （ 3）安全問題不能僅由安全產(chǎn)品來解決 （ 4）安全產(chǎn)品的安全悖論。一般安全產(chǎn)品需要產(chǎn)品開發(fā)的安全保證和產(chǎn)品認(rèn)證的安全保證兩層保證。 （ 5）沒有 100%的安全性 第二節(jié) 會(huì)計(jì)信息系統(tǒng)計(jì)劃和建立過程中 的風(fēng)險(xiǎn)防范 Ernest Young于 2023年 10月至 11月間，對(duì)世界上 17個(gè)地區(qū)的 459名首席財(cái)務(wù)官、 IT主管和經(jīng)理人員進(jìn)行調(diào)查發(fā)現(xiàn)，有 56%的受訪者認(rèn)為信息系統(tǒng)故障是由于計(jì)算機(jī)硬件和軟件問題造成的。 一、選擇計(jì)算機(jī)硬件的風(fēng)險(xiǎn)防范 （一）存在的風(fēng)險(xiǎn) 計(jì)算機(jī)硬件由于性能和配置太低，無法支持會(huì)計(jì)軟件的正常運(yùn)行 購買了過于高檔和昂貴的計(jì)算機(jī)硬件系統(tǒng)，造成資源的閑置和資金的浪費(fèi) 選擇了質(zhì)量低劣的計(jì)算機(jī)硬件，嚴(yán)重影響日后會(huì)計(jì)信息系統(tǒng)的實(shí)施 （二）選擇計(jì)算機(jī)硬件應(yīng)遵循的原則 以商品化會(huì)計(jì)軟件的硬件最低配置要求或?qū)τ布慕ㄗh配置為標(biāo)準(zhǔn) 計(jì)算機(jī)硬件的選擇要具有一定的前瞻性 在選擇和購買太高檔與一定的前瞻性之間找到一個(gè)恰當(dāng)?shù)钠胶恻c(diǎn) 可向會(huì)計(jì)軟件的開發(fā)商、技術(shù)人員和相關(guān)的顧問公司進(jìn)行咨詢 應(yīng)盡量選擇規(guī)模大、信譽(yù)好的硬件提供商的產(chǎn)品 二、選擇會(huì)計(jì)軟件的風(fēng)險(xiǎn)防范 為了
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1