《中國(guó)聯(lián)通通信公司it內(nèi)控體系建立與實(shí)施講解報(bào)告》(文件)
【正文】 要求； ? 所屬各單位還沒(méi)有形成系統(tǒng)的 IT管理控制流程，存在控制風(fēng)險(xiǎn)。 41 18 企業(yè)通用業(yè)頻道 二、貫徹風(fēng)險(xiǎn)管理方式，開(kāi)展針對(duì)性培訓(xùn) ? IT內(nèi)控工作主要涉及兩個(gè)方面： ? 一是對(duì)信息系統(tǒng)功能要求； ? 二是對(duì)信息化管理控制流程的要求，而且這部分工作量最大，并涉及相關(guān)工作人員的管理意識(shí)的轉(zhuǎn)變。 41 21 企業(yè)通用業(yè)頻道 三、統(tǒng)一 IT內(nèi)控流程描述和文檔格式 ? 在實(shí)施 IT內(nèi)控工作初期，原網(wǎng)通河北省分公司所屬分公司和直屬單位有15個(gè)本地化內(nèi)控文檔，由于各單位信息化管理支撐部門內(nèi)部規(guī)章制度和工作流程不盡相同，管理精細(xì)化程度不一，工作人員對(duì)內(nèi)控理解程度也各不相同。 ? 上述工作的開(kāi)展 ， 不僅僅統(tǒng)一了 IT內(nèi)控流程描述 ， 也實(shí)現(xiàn)了河北省分公司所屬各單位信息化管理控制流程和文檔的統(tǒng)一 ， 為河北省分公司 IT內(nèi)控在 20xx年滿足 SOX404形成了可量化的工作標(biāo)準(zhǔn) ， 由于各單位有同樣的文檔格式 ， 在 IT內(nèi)控工作深度和進(jìn)度把握上取得了主動(dòng)權(quán) ， 管理效果非常直觀 ， 同時(shí)也降低了 IT內(nèi)控的工作難度 。 ? 為了按時(shí)按時(shí)完成該項(xiàng)工作，我們積極與部門領(lǐng)導(dǎo)商議，并與省公司法律與風(fēng)險(xiǎn)部進(jìn)行溝通，共同起草通知文件，向省公司相關(guān)部門和各市分公司布置工作，在 7月初保質(zhì)保量完成此項(xiàng)工作，并向集團(tuán)公司企業(yè)信息化部上報(bào)。 ? 在 20xx年初各單位整改的基礎(chǔ)上，網(wǎng)通河北省分公司 IT內(nèi)控工作組，去各市分公司收集整理第一輪測(cè)試存在 20個(gè)共性問(wèn)題，深入理解內(nèi)控要求，提出了人工降低 IT內(nèi)控風(fēng)險(xiǎn)整改措施。 ? 上述措施的落實(shí)，有效地開(kāi)展了內(nèi)控工作，并為公司節(jié)約建設(shè)資金 億元。 《 信息系統(tǒng)變更申請(qǐng) 》 ； 《 信息系統(tǒng)變更方案 》 ； 《 變更通知單 》 ； 《 信息系統(tǒng)變更計(jì)劃 》 ； 《 應(yīng)急回退方案和回退時(shí)間點(diǎn) 》 ； 《 備份記錄 》 ； 《 信息系統(tǒng)變更版本控制記錄 》 ； 《 xx系統(tǒng)參數(shù)配置表 》 ； 《 工作日志 》 ； 《 上線前的測(cè)試計(jì)劃 》 ； 1 《 上線審批單 》 1 《 系統(tǒng)割接計(jì)劃 》 ； 1 《 變更報(bào)告 》 ； 1 《 使用手冊(cè) 》 。 ? 在上述工作基礎(chǔ)上， 20xx年，網(wǎng)通河北省分公司 IT內(nèi)控工作組兩次對(duì)全省各單位進(jìn)行內(nèi)控測(cè)試工作。 ? 依據(jù)風(fēng)險(xiǎn)管理理論，我們將信息系統(tǒng)分為實(shí)物、軟件、信息、服務(wù)等四類資產(chǎn)，從資產(chǎn)本身的弱點(diǎn)或漏洞、資產(chǎn)存在的外部威脅、威脅發(fā)生的可能性、威脅發(fā)生的后果、目前采取的措施等五個(gè)方面，建立 《 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估矩陣 》 ，組織公司所屬各單位對(duì)各個(gè)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，找出目前信息系統(tǒng)存在的隱患，以應(yīng)用系統(tǒng)為單位，制定針對(duì)性應(yīng)急預(yù)案，進(jìn)行模擬演練，并保留演練文檔。電源、溫度、濕度不符合要求 小1 、業(yè)務(wù)連續(xù)性受到影響2 、可能造成數(shù)據(jù)丟失，甚至業(yè)務(wù)無(wú)法回復(fù)陣列放置在了正規(guī)的機(jī)房，對(duì)各種機(jī)房指標(biāo)都有嚴(yán)格的控制 很低 無(wú)機(jī)房的物理訪問(wèn)控制可能不十分嚴(yán)格非法或不合規(guī)的機(jī)房物理訪問(wèn) 小陣列有單獨(dú)管理的鑰匙，但如遭惡意破壞，可能造成服務(wù)器硬件損壞1 、嚴(yán)格的機(jī)房訪問(wèn)控制，機(jī)房出入登記制度2 、陣列有單獨(dú)管理的鑰匙， 很低 無(wú)硬件有一定的故障幾率 設(shè)備硬件老化 小1 、硬件重新購(gòu)置費(fèi)用2 、需要時(shí)備份數(shù)據(jù)不可用，可能影響業(yè)務(wù)的預(yù)期恢復(fù)1 、維保合同2 、對(duì)備份是否成功的定期檢查 很低 無(wú)易受電源、溫度等不穩(wěn)定影響。 41 36 企業(yè)通用業(yè)頻道 八、組織各單位，開(kāi)展電子表格內(nèi)控管理，滿足內(nèi)控要求。 ? 由于此項(xiàng)制度編寫全面，可操作性強(qiáng)，滿足了電子表格內(nèi)控要求，受到集團(tuán)公司內(nèi)控工作組的表?yè)P(yáng)，集團(tuán)公司所屬其它省也借鑒了河北省分公司的此項(xiàng)制度。 電子表格文件備份計(jì)劃 電子表格文件備份記錄 41 41 企業(yè)通用業(yè)頻道 結(jié)束 。 41 37 企業(yè)通用業(yè)頻道 電子表格的控制變化 模板 設(shè)計(jì) 模板 使用 模板 維護(hù) 數(shù)據(jù) 訪問(wèn) 控制 數(shù)據(jù) 編輯 電子表格流程控制 電子表格 個(gè)人控制 41 38 企業(yè)通用業(yè)頻道 電子表格控制與被控制分離的原則 電子表格維護(hù)人 電子表格使用人 電子表格設(shè)計(jì)人 電子表格訪問(wèn)人 41 39 企業(yè)通用業(yè)頻道 電子表格業(yè)務(wù)流程控制 開(kāi)始 設(shè)計(jì)人：進(jìn)行電子表格模板設(shè)計(jì)與開(kāi)發(fā) 使用人：采用電子表格模 板進(jìn)行數(shù)據(jù)的輸入和編輯 訪問(wèn)人：對(duì)電子 表格數(shù)據(jù)進(jìn)行查詢 結(jié)束 使用人：對(duì)電子表格模板最終確認(rèn) 使用人：提出申請(qǐng) 設(shè)計(jì)人：組織維護(hù)人進(jìn)行測(cè)試 是否通過(guò) 測(cè)試報(bào)告 維護(hù)人：對(duì)電子 表格模板維護(hù)管理 目錄清單 申請(qǐng)書 使用人部門主任：審核簽字 測(cè)試報(bào)告 使用人：確定電子表格的使用 權(quán)限，分別定義電子表格數(shù)據(jù) 的創(chuàng)建、更新、刪除與查詢權(quán)限 維護(hù)人：電子表格 模板是否有問(wèn)題 授權(quán)書 授權(quán)書 授權(quán)書 授權(quán)書 41 40 企業(yè)通用業(yè)頻道 電子表格的存儲(chǔ)訪問(wèn)控制 系統(tǒng)管理員 :電子表格維護(hù)人來(lái)?yè)?dān)任 應(yīng)用管理員 :電子表格使用人來(lái)?yè)?dān)任 系統(tǒng)管理員建立三個(gè)文件夾 : 電子表格數(shù)據(jù)管理，為共享模式； 電子表格模板管理，為共享模式； 電子表格數(shù)據(jù)備份管理。在電子表格內(nèi)控開(kāi)始階段，大家對(duì)電子
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1