【正文】 2023年 3月 9日星期四 下午 1時(shí) 53分 55秒 13:53: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過(guò)于提升自我。 2023年 3月 9日星期四 1時(shí) 53分 55秒 13:53:559 March 2023 ? 1空山新雨后，天氣晚來(lái)秋。 , March 9, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒(méi)有。 :53:5513:53Mar239Mar23 ? 1故人江海別，幾度隔山川。操作人員應(yīng)檢查報(bào)告是否完整，是否按照計(jì)劃分發(fā)。 ? 7．預(yù)設(shè)輸入值 某些信息字段被預(yù)設(shè)為空值，以避免輸入過(guò)程出錯(cuò)。 ? 3．保存源文件 ? 源文件應(yīng)保存足夠長(zhǎng)的時(shí)間，以確保可以重新檢索、構(gòu)建或檢查數(shù)據(jù)。 ? （ 7）文件總數(shù)調(diào)和（ reconciliation of file totals） ? 應(yīng)定期進(jìn)行文件總數(shù)調(diào)和。 82 處理控制過(guò)程 ? 處理控制確保所積累數(shù)據(jù)的完整性和準(zhǔn)確性。 ? 表查尋 將輸入數(shù)據(jù)與計(jì)算機(jī)系統(tǒng)所存有各種可能輸入值的表進(jìn)行比較。 ? 范圍檢查 數(shù)據(jù)的取值不能超過(guò)一定的范圍。其他的管理人員應(yīng)對(duì)此日志進(jìn)行檢查。錯(cuò)誤可能來(lái)源于重復(fù)的交易事項(xiàng)或不正確的數(shù)據(jù)輸入。如果可能的話，所有表單都應(yīng)事先按照交易識(shí)別代碼及其他順序項(xiàng)目編碼并打印。包括：提高數(shù)據(jù)記錄的速度和準(zhǔn)確性；控制工作流；有助于使用圖像識(shí)別設(shè)備錄入數(shù)據(jù)；提高使用圖像識(shí)別技術(shù)設(shè)備讀如數(shù)據(jù) 的速度和準(zhǔn)確性，并且便于按順序到參考檢查。 ? 在線訪問(wèn)控制 確保只有授權(quán)用戶才可以 訪問(wèn)數(shù)據(jù)執(zhí)行敏感功能。并應(yīng)保證只能輸入合法和經(jīng)過(guò)授權(quán)的信息，每筆交易只能處理一次。 ? （ 6）準(zhǔn)備測(cè)試報(bào)告。測(cè)試的范圍包括硬件、系統(tǒng)軟件、應(yīng)用軟件和遠(yuǎn)程通信網(wǎng)絡(luò)。 ? （ 6）如何測(cè)試和維護(hù)數(shù)據(jù)。綜述在災(zāi)難發(fā)生時(shí)應(yīng)當(dāng)采取的程序（如計(jì)算機(jī)的關(guān)閉、火災(zāi)撲滅、疏散和警報(bào)程序等）。公司為每個(gè)重要功能安排恢復(fù)時(shí)間（如主機(jī)一定在 48小時(shí)內(nèi)恢復(fù)，個(gè)人電腦必須在一周內(nèi)更換）。 65 災(zāi)難恢復(fù)計(jì)劃的制定 制定災(zāi)難恢復(fù)計(jì)劃需要五個(gè)階段： ? 階段 I――對(duì)公司經(jīng)營(yíng)環(huán)境進(jìn)行評(píng)估； ? 階段 II――分析恢復(fù)策略； ? 階段 III――災(zāi)難恢復(fù)計(jì)劃的文檔； ? 階段 IV――設(shè)計(jì)災(zāi)難恢復(fù)計(jì)劃； ? 階段 V――執(zhí)行、評(píng)估和維護(hù)災(zāi)難恢復(fù)計(jì)劃。美國(guó)“ 911”襲擊事件中，總部在世貿(mào)大樓的摩根斯坦利銀行遭到毀滅性打擊。一旦發(fā)生災(zāi)難，只需在備份系統(tǒng)上恢復(fù)生產(chǎn)系統(tǒng)的數(shù)據(jù)，并對(duì)備份后業(yè)務(wù)事項(xiàng)進(jìn)行追補(bǔ)就可快速接替生產(chǎn)系統(tǒng)運(yùn)行，恢復(fù)營(yíng)業(yè)。 ? 缺點(diǎn)：恢復(fù)時(shí)間較長(zhǎng)，一般要數(shù)天至一周，數(shù)據(jù)完整性與一致性較差。要使該協(xié)定有效必須滿足以下條件： ? 每家公司都必須具有額外的信息處理能力，或必須能夠降低其業(yè)務(wù)量，以對(duì)另一家發(fā)生災(zāi)害的公司提供援助； ? 各公司業(yè)務(wù)系統(tǒng)的平臺(tái)必須兼容； ? 所有簽約方不能都受到災(zāi)害的影響； ? 公司之間具有很高的信任度。本方式要求在生產(chǎn)系統(tǒng)與磁帶庫(kù)或光盤庫(kù)系統(tǒng)之間建立通信線路。 55 災(zāi)難備份系統(tǒng)的組成 ? 災(zāi)難備份系統(tǒng)一般由可接替生產(chǎn)系統(tǒng)運(yùn)行的后備運(yùn)行系統(tǒng)、數(shù)據(jù)備份系統(tǒng)、終端用戶切換到備份系統(tǒng)的備用通訊線路等部分組成。 53 基本概念 ? 3．災(zāi)難備份 ? 災(zāi)難備份是指為了減少災(zāi)難發(fā)生的概率，以及減少災(zāi)難發(fā)生時(shí)或發(fā)生后造成的損失而采取的各種防范措施。應(yīng)牢記程序可以附帶在電子郵件信息中傳遞； ? 盡可能少的設(shè)置互聯(lián)網(wǎng)計(jì)算機(jī)的用戶帳戶，并定期更換期密碼； ? 如果不是特別需要的話，應(yīng)避免運(yùn)行一些諸如互聯(lián)網(wǎng)聊天室之類的服務(wù)器應(yīng)用。這種設(shè)備 的優(yōu)點(diǎn)在于每個(gè)“挑戰(zhàn)”“響應(yīng)”信號(hào)是唯一的。 47 審計(jì)人員可能遇到的控制： ? （ 13）使用應(yīng)答設(shè)備（ challengeresponse devices）?？蛻艚?jīng)常允許軟件供應(yīng)商通過(guò)遠(yuǎn)程訪問(wèn)連接對(duì)系統(tǒng)進(jìn)行維護(hù)和故障修復(fù)。 ? （ 7）網(wǎng)絡(luò)應(yīng)該由經(jīng)過(guò)適當(dāng)培訓(xùn)，具備相當(dāng)經(jīng)驗(yàn)的雇員管理和控制。例如，一個(gè)在家辦公的遠(yuǎn)程用戶希望訪問(wèn)系統(tǒng)。例如網(wǎng)絡(luò)布線圖。病毒感染經(jīng)常發(fā)生，用戶應(yīng)經(jīng)常使用殺病毒軟件進(jìn)行檢查，并對(duì)殺病毒軟件及時(shí)升級(jí)。例如由于線路的噪音干擾，發(fā)出的數(shù)據(jù)“ 1”，接收時(shí)變成了“ 0”。這通常可以從事件日志記錄中獲得。除非有特別的安全需要，否則多數(shù)財(cái)務(wù)系統(tǒng)都依照 C2級(jí)標(biāo)準(zhǔn)。這樣可以確保用戶只擁有工作需要的訪問(wèn)權(quán)限。因此訪問(wèn)控制可以建立于： ? 操作系統(tǒng)（或系統(tǒng)工具） ? 每個(gè)應(yīng)用 ? 每層的邏輯訪問(wèn)控制均由不同的管理員實(shí)現(xiàn)。例如當(dāng)某個(gè)用戶登錄計(jì)算機(jī)以后，可以其只能訪問(wèn)某些文件、應(yīng)用或其他工作需要的資源。 Halon對(duì)計(jì)算機(jī)設(shè)備無(wú)害，并且相對(duì)二氧化碳來(lái)說(shuō)，危害較小。 ? 死人門（ deadman doors）：該系統(tǒng)使用一對(duì)門。 ? 辦公室無(wú)人照管時(shí)的控制過(guò)程。 ? （ 2）環(huán)境風(fēng)險(xiǎn) ? 水災(zāi)或火災(zāi)破壞，以及其他自然災(zāi)害的破壞； ? 電源掉電導(dǎo)致內(nèi)存數(shù)據(jù)丟失； ? 電壓不穩(wěn)導(dǎo)致系統(tǒng)故障、處理錯(cuò)誤和設(shè)備部件的損壞； ? 由于溫度、濕度惡劣導(dǎo)致系統(tǒng)故障； ? 炸彈破壞； ? 靜電破壞敏感的電子部件； ? 其他諸如。大多數(shù)情況下，綜合控制的元素主要集中在信息技術(shù)部門或相似部門。 信息系統(tǒng)中常見的糾正控制包括： ? 意外事故計(jì)劃； ? 備份過(guò)程； ? 系統(tǒng)重啟過(guò)程。 ? 所有的拒絕操作都有報(bào)告。 5 信息的潛在威脅 ? 錯(cuò)誤 ? 惡意破壞 ? 欺詐 ? 盜竊 ? 軟硬件故障 6 信息系統(tǒng)的薄弱點(diǎn) ? 用戶缺乏知識(shí) ? 缺乏安全措施 ? 口令缺少變化 ? 未經(jīng)測(cè)試的技術(shù) ? 無(wú)保護(hù)的數(shù)據(jù)傳輸 7 威脅一旦發(fā)生所造成的影響 ? 直接的經(jīng)濟(jì)損失 ? 違反法律 ? 名譽(yù)聲望受損 ? 員工或客戶受到威脅 ? 信心受損 ? 商業(yè)機(jī)會(huì)的損失 ? 經(jīng)營(yíng)效率與性能的降低 ? 商業(yè)經(jīng)營(yíng)中斷。 8 整體風(fēng)險(xiǎn) 整體風(fēng)險(xiǎn)是對(duì)企業(yè)風(fēng)險(xiǎn)的整體評(píng)價(jià)，通常做法是： ∑影響可能性 9 剩余風(fēng)險(xiǎn) 剩余風(fēng)險(xiǎn)是采用控制以后所遺留的風(fēng)險(xiǎn)水平。 ? 重復(fù)操作有報(bào)告 ? 文件都經(jīng)過(guò)充分備份，以備正確的恢復(fù)。 16 綜合控制與應(yīng)用控制 ? 綜合控制是對(duì)組織各部門設(shè)計(jì)、安全、使用計(jì)算機(jī)程序的總體上的控制。 19 綜合控制主要包括以下幾類： ? 組織和管理（高水平的信息技術(shù)政策和標(biāo)準(zhǔn)）； ? 職責(zé)分離； ? 物理控制（接觸與環(huán)境控制）； ? 邏輯訪問(wèn)控制； ? 系統(tǒng)開發(fā)和程序修改； ? 對(duì)計(jì)算機(jī)人員（包括程序員、系統(tǒng)分析員和計(jì)算機(jī)操作人員）的控制（包括內(nèi)部和外部信息技術(shù)服務(wù)）； ? 確保計(jì)算機(jī)系統(tǒng)可用性的控制； ? 對(duì)最終用戶計(jì)算的控制。照明設(shè)備停工，灰塵或污垢聚集等。例如當(dāng)雇員晚上回家或外出吃飯時(shí)，應(yīng)鎖好鍵盤、將筆記本電腦鎖入抽屜、鎖好軟盤等。前一門未鎖上，后一門不能打開。 31 防水 進(jìn)入機(jī)房的水可能來(lái)自以下方面： ? 洪水； ? 屋頂漏水； ? 爆裂的管道； ? 洗手間或水池溢水； ? 冷卻系統(tǒng)漏水。 34 邏輯訪問(wèn)的風(fēng)險(xiǎn) 信息缺乏邏輯訪問(wèn)控制的主要影響包括： ? 未經(jīng)允許的泄漏； ? 未經(jīng)授權(quán)的修改； ? 系統(tǒng)完整性受到破壞。 IT部門人員負(fù)責(zé)管理誰(shuí)能登錄網(wǎng)絡(luò)，以及登錄網(wǎng)絡(luò)以后可以訪問(wèn)什么應(yīng)用和數(shù)據(jù)文件。 ? 系統(tǒng)管理員與應(yīng)用管理員的職責(zé)應(yīng)分離。 C2級(jí)標(biāo)準(zhǔn)要求操作系統(tǒng)使用登錄控制、審計(jì)安全相關(guān)事件以及隔離資源等措施，控制訪問(wèn)。計(jì)算機(jī)系統(tǒng)中的審計(jì)日志一般有兩種：安全審計(jì)日志和交易審計(jì)日志。 ? 來(lái)自內(nèi)部或外部的欺詐：竊賊不再依賴槍和盜竊工具來(lái)打劫銀行。 ? 違反版權(quán)和數(shù)據(jù)保護(hù)法：由于用戶可以從網(wǎng)上隨便獲得數(shù)據(jù)和軟件，從而導(dǎo)致觸犯當(dāng)?shù)氐陌鏅?quán)和數(shù)據(jù)保護(hù)法。這些文檔通常作為機(jī)密文檔保存。他可以通過(guò)調(diào)制解調(diào)器呼叫辦公系統(tǒng)。管理人員對(duì)這些雇員的工作進(jìn)行監(jiān)督管理。這些工具的使用應(yīng)受到監(jiān)督，并且只有在需要且經(jīng)過(guò)授權(quán)以后才可以使用。這是典型的手持設(shè)備，大小與計(jì)算器相仿。因此未授權(quán)用戶無(wú)法重復(fù)使用密碼訪問(wèn)系統(tǒng)。 49 其他安全控制技術(shù) ? 防火墻（ firewall） ? 口令 ? 訪問(wèn)控制 ? 加密 ? 安全電子郵件 PEM（ privacy enhanced mail） ? 良好隱私 PGP（ pretty good privacy） ? 站點(diǎn)安全工具 ? 事故報(bào)告與更改 50 持續(xù)計(jì)劃 ? 基本概念 ? 災(zāi)難備份系統(tǒng)的組成 ? 災(zāi)難恢復(fù)計(jì)劃的制定 51 基本概念 1．商業(yè)持續(xù)計(jì)劃（ business continuity planning， BCP） ? 商業(yè)持續(xù)能力是指企業(yè)在信息系統(tǒng)支持中斷情況下的繼續(xù)經(jīng)營(yíng)能力以及發(fā)生災(zāi)難性事件情況下的生存能力。 ? 4．災(zāi)難恢復(fù) ? 災(zāi)難恢復(fù)是一個(gè)在發(fā)生計(jì)算機(jī)系統(tǒng)災(zāi)難后，在遠(yuǎn)離災(zāi)難現(xiàn)場(chǎng)的地方重新組織系統(tǒng)運(yùn)行和恢復(fù)營(yíng)業(yè)的過(guò)程。 ? 在正常生產(chǎn)和數(shù)據(jù)備份狀態(tài)下，生產(chǎn)系統(tǒng)通過(guò)人工或網(wǎng)絡(luò)傳輸方法向備份系統(tǒng)傳送需備份的各種數(shù)據(jù)。 ? （ 3）遠(yuǎn)程關(guān)鍵數(shù)據(jù) +定期備份 ? 本方式定期備份全部數(shù)據(jù)，同時(shí)生產(chǎn)系統(tǒng)實(shí)時(shí)向備份系統(tǒng)傳送數(shù)據(jù)庫(kù)日志或應(yīng)用系統(tǒng)交