電子商務(wù)－第17講附件－sox法案與信息安全-預(yù)覽頁
【正文】 ces)，到 7月 25日國(guó)會(huì)參眾兩院的最終通過，先后有 6個(gè)版本。 ?嚴(yán)格地說， SOX法案并沒有直接對(duì)信息系統(tǒng)提出要求，但法案中 404條款 對(duì)內(nèi)控體系建設(shè)有明確要求 : 公司除了有正確完整的財(cái)務(wù)報(bào)表外，還要有確保報(bào)表正確而完整的控制體系，公司管理層每年需對(duì)內(nèi)控體系的運(yùn)行效果進(jìn)行評(píng)估，外部審計(jì)師要對(duì)內(nèi)部控制體系和控制效果進(jìn)行測(cè)試并出具審計(jì)意見。 Electronic Commerce 電子商務(wù) 第 17講 附件 11/36 SOX法案與信息安全 ? 系統(tǒng)總體控制 ?信息系統(tǒng)總體控制指的是內(nèi)部控制中對(duì)信息系統(tǒng)相關(guān)部分的控制，它保證由信息系統(tǒng)支持的流程控制是可靠的，生成的數(shù)據(jù)和報(bào)告是可信的。 ④ 4. 系統(tǒng)變更 : 包括日常變更、緊急變更等。 不允許數(shù)據(jù)的重復(fù)錄入和處理 。 ③ 3. 有效性 :交易被適當(dāng)授權(quán) 。 數(shù)據(jù)保密性 。 ③ 3. 該系統(tǒng)是否生成關(guān)鍵的表單和數(shù)據(jù)為其他作為記賬依據(jù)或生成財(cái)務(wù)報(bào)表的系統(tǒng)使用 。 ?其中應(yīng)用系統(tǒng)的用戶權(quán)限管理和職責(zé)分離 (SoD， Segregation of Duties)，是內(nèi)部控制的重要組成部分，也是 SOX法案 404條款要求的重點(diǎn)之一。 ?電子表格中的公式、宏及表間鏈接等功能增加了電子表格計(jì)算的復(fù)雜程度，同時(shí)也增加了電子表格數(shù)據(jù)完整性及計(jì)算準(zhǔn)確性的風(fēng)險(xiǎn)。 ?公司需要對(duì)電子表格實(shí)施的控制是否能支持重大會(huì)計(jì)事項(xiàng)及披露進(jìn)行謹(jǐn)慎的評(píng)估。 ?對(duì)電子表格的控制包括開發(fā)控制、變更控制、版本控制、存取控制、輸入控制、安全控制、存儲(chǔ)歸檔控制、備份控制、文檔記錄、權(quán)限控制、邏輯檢查。用專注、專業(yè)、專心的精神為電信運(yùn)營(yíng)商客戶切實(shí)解決遇到的安全問題。 ? 此外，在整個(gè)管理監(jiān)控過程中，對(duì)企業(yè)相關(guān)人員進(jìn)行安全實(shí)踐培訓(xùn)。SOX法案進(jìn)行了徹底改革，它要求最高執(zhí)行官負(fù)責(zé)執(zhí)行該法案的規(guī)定，并且確保建立財(cái)務(wù)公開控制制度，否則將受到刑事處罰。 Electronic Commerce 電子商務(wù) 第 17講 附件 26/36 針對(duì) SOX法案的信息安全方案 ? IBM公司的解決方案： ?明智的公司不會(huì)僅僅遵守該法案，而是利用這個(gè)機(jī)會(huì)來設(shè)計(jì)內(nèi)部系統(tǒng)，以便提高效率。 Electronic Commerce 電子商務(wù) 第 17講 附件 27/36 針對(duì) SOX法案的信息安全方案 ? IBM公司的 SOX解決方案： ?IBM 采取一種集成的方法來幫助客戶遵守相關(guān)法案，除SOX法案之外，還幫助公司遵守最近實(shí)施的 50余個(gè)公共法案和規(guī)定。本產(chǎn)品幫助公司提供一個(gè)公共的平臺(tái)，用來記錄、評(píng)估和報(bào)告整個(gè)企業(yè)的控制管理狀態(tài)。 ?在 IBM的一家大型零售商客戶的系統(tǒng)中，會(huì)計(jì)、銷售和采購(gòu)數(shù)據(jù)都得到良好的控制。 ?Tivoli Access Manager在該零售商的整個(gè)財(cái)務(wù)系統(tǒng)中實(shí)現(xiàn)了一個(gè)一致且通用的訪問策略。 Electronic Commerce 電子商務(wù) 第 17講 附件 30/36 針對(duì) SOX法案的信息安全方案 ? 卓益達(dá) SOX法案符合性解決方案 ?針對(duì)性問題：從電信運(yùn)營(yíng)商的角度來說，其 IT系統(tǒng)的管理在面對(duì) SOX法案時(shí)的挑戰(zhàn)，主要集中在 6類控制缺陷： ① 大量用戶擁有 “ 超級(jí)用戶 ” 的訪問權(quán)限； ② 不能對(duì)管理員的操作提供完整的登錄日志及行為記錄； ③ 管理員所使用的客戶端本身存在安全漏洞； ④ 已終止雇用關(guān)系的員工或已經(jīng)離開的供應(yīng)商人員仍然擁有系統(tǒng)訪問權(quán)； ⑤ 用戶賬號(hào)的權(quán)限設(shè)定不明確或者不嚴(yán)謹(jǐn)； ⑥ 口令策略不嚴(yán)謹(jǐn)。 ② 系統(tǒng)授權(quán)及認(rèn)證管理 —— 提供：基于角色的訪問控制；基于策略的訪問控制；系統(tǒng)用戶登錄管理；支持多種認(rèn)證方式。 ?SOX法案最實(shí)質(zhì)的影響莫過于要求企業(yè)的 CEO、CFO個(gè)人對(duì)財(cái)務(wù)報(bào)告承擔(dān)責(zé)任，還加強(qiáng)了對(duì)上市公司欺詐的刑事懲罰。 Electronic Commerce 電子商務(wù) 第 17講 附件 35/36 SOX法案對(duì)信息安全行業(yè)的影響 ? SOX對(duì)我國(guó)的影響 ?我們首先看一組數(shù)據(jù)： IDC的最新報(bào)告顯示： ? 2022年，我國(guó) IT總體投資為 ，而信息安全的總體投資才區(qū)區(qū) ，僅占總體投資的 %！ ? 2022年網(wǎng)絡(luò)安全預(yù)期的投資增長(zhǎng)率為 %的，但實(shí)際只達(dá)到了%，嚴(yán)重低于預(yù)期！ ? 再?gòu)闹袊?guó)和韓國(guó)的數(shù)據(jù)比較看， 2022年，韓國(guó)的信息安全投資達(dá)到了 ，是中國(guó)的 ！ ? 由此可見中國(guó)的信息安全投入處于怎樣一個(gè)低下的水平！ Electronic Commerce 電子商務(wù) 第 17講 附件 36/36 本講結(jié)束 謝謝 ！
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1