電子商務(wù)－第17講附件－sox法案與信息安全-文庫吧在線文庫
【正文】 針對 SOX法案的信息安全方案 ?SOX法案對信息安全行業(yè)的影響 Electronic Commerce 電子商務(wù) 第 17講 附件 4/36 背景資料 ?什么是 SOX法案： ?SOX法案即 《 薩班斯 奧克斯萊法案（ SarbanesOxley Act） 》 ，又稱 《 2022年公眾公司會計改革和投資者保護法 》 ； ?該法案于 2022年 7月由美國總統(tǒng)布什簽署發(fā)布； ?是美國政府對公司監(jiān)管的重要法律； ?美國總統(tǒng)布什在簽署“ SOX法案”的新聞發(fā)布會上稱“ 這是自羅斯?？偨y(tǒng)以來美國商業(yè)界影響最為深遠的改革法案 ”。 Electronic Commerce 電子商務(wù) 第 17講 附件 7/36 背景資料 ?SOX法案主要解決什么問題？ ?再建立上市公司高管人員責(zé)任追究機制 ； ?強化內(nèi)外制衡 ； ?加強內(nèi)部獨立監(jiān)督能力 ； ?杜絕注冊會計師利益瓜葛 ； ?會計師行業(yè)由自律改為監(jiān)管 ； ?確保證券分析師的客觀性和獨立性 ； ?加強刑事處罰。 ② 2. 信息安全 : 包括信息安全組織、邏輯安全、物理安全、網(wǎng)絡(luò)安全、病毒防護、第三方管理、事件響應(yīng)等。 ② 2. 準確性 : 所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的 。 Electronic Commerce 電子商務(wù) 第 17講 附件 13/36 SOX法案與信息安全 ? 應(yīng)用系統(tǒng)控制 ?上市公司內(nèi)部可能應(yīng)用各類信息系統(tǒng)，進行應(yīng)用系統(tǒng)控制之前，首先應(yīng)對公司應(yīng)用的信息系統(tǒng)進行判斷，界定是否屬于與財務(wù)報告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)，判定原則包括 : ① 1. 該應(yīng)用系統(tǒng)是否用于進行有關(guān)重要交易事項的生成、授權(quán)、記錄、處理或報告 。根據(jù)業(yè)界最新的統(tǒng)計，截止到 2022年 4月份，在所有報告的實質(zhì)性漏洞 (Material Weakness)中，SoD一項就占了 5％以上，因此必須對與財務(wù)報告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)的用戶進行合理的管理，以實現(xiàn)用戶的授權(quán)適當和合理分工。 ?對電子表格的控制包括開發(fā)控制、變更控制、版本控制、存取控制、輸入控制、安全控制、存儲歸檔控制、備份控制、文檔記錄、權(quán)限控制、邏輯檢查。該體系以 全面保護、實時監(jiān)控、專家響應(yīng) 為基本元素，建立了一套閉環(huán)服務(wù)體系，這種全面的安全服務(wù)體系能完全使企業(yè)擺脫維護系統(tǒng)安全的煩惱，并從最大程度上提高投資回報率。 ?該法案的第 404條要求上市公司的管理層提交一份內(nèi)部控制效率年度報告。 ?IBM Workplace for Business Controls and Reporting 自動評估業(yè)務(wù)控制。當用戶通過數(shù)據(jù)庫的身份驗證后，系統(tǒng)對用戶的行為沒有控制。 ?通過 部署加固代理服務(wù)器 ，進而實現(xiàn)管理平臺和應(yīng)用服務(wù)器邏輯上的物理隔離，保證了對應(yīng)用服務(wù)器訪問的安全性； ?同時，管理員只能通過 帶外方式 ，由 Console口登錄代理服務(wù)器 ，實現(xiàn)了對系統(tǒng)的保護； ?另外，通過部署 統(tǒng)一接入服務(wù)器以及 syslog/NFS服務(wù)器，實現(xiàn)統(tǒng)一接入、審計和認證管理。 ?該法案規(guī)定，企業(yè)的 CEO必須對企業(yè)財務(wù)數(shù)據(jù)的真實性負責(zé)，否則要承擔(dān)最多監(jiān)禁 25年的刑事責(zé)任！其中有一段規(guī)定： CEO必須將這些財務(wù)信息保存 8年以上，供隨時審計，其中過程、由網(wǎng)絡(luò)產(chǎn)生的數(shù)據(jù)都作為審計對象。 Electronic Commerce 電子商務(wù) 第 17講 附件 33/36 SOX法案對信息安全行業(yè)的影響 ? SOX約束的對象 ?該法案的法律效力適用于在美國證券交易委員會注冊的約 14000家公司，其中包括大量非美國公司。 Tivoli Identity Manager根據(jù)用戶權(quán)限檢查每一項變更請求。 Electronic Commerce 電子商務(wù) 第 17講 附件 28/36 針對 SOX法案的信息安全方案 ? IBM公司的 SOX解決方案： ?Tivoli 能夠幫助客戶分析差距，并幫助客戶縮短這些差距。 ?例如，法案要求公司不僅要提供嚴格的年度報告，而且必須隨時準備” 實時的 ”內(nèi)部檢查和財務(wù)檢查。現(xiàn)在 SOX第404條要求他們必須進行內(nèi)部控制，在這一點上 IBM能夠提供幫助。 ?特點： 以薩班斯（ SOX）法案對內(nèi)控系統(tǒng)的安全需求為根本，制定了全新的風(fēng)險評估、應(yīng)急響應(yīng)、安全加固等服務(wù)。即使相對簡單的電子表格計算的一個偏差也可能會對財務(wù)報告及披露產(chǎn)生重大錯報的風(fēng)險。 ⑤ 5. 上述應(yīng)用控制是否是惟一依賴的控制措施，是否存在手工控制可以達到控制目標，彌補風(fēng)險。 異常情況被發(fā)現(xiàn)和處理。 ⑥ 6. 最終用戶操作
試題試卷相關(guān)推薦
鄂ICP備17016276號-1