電子商務(wù)－第17講附件－sox法案與信息安全-文庫吧在線文庫
【正文】 針對 SOX法案的信息安全方案 ?SOX法案對信息安全行業(yè)的影響 Electronic Commerce 電子商務(wù) 第 17講 附件 4/36 背景資料 ?什么是 SOX法案： ?SOX法案即 《 薩班斯 奧克斯萊法案（ SarbanesOxley Act） 》 ，又稱 《 2022年公眾公司會計(jì)改革和投資者保護(hù)法 》 ； ?該法案于 2022年 7月由美國總統(tǒng)布什簽署發(fā)布； ?是美國政府對公司監(jiān)管的重要法律； ?美國總統(tǒng)布什在簽署“ SOX法案”的新聞發(fā)布會上稱“ 這是自羅斯?？偨y(tǒng)以來美國商業(yè)界影響最為深遠(yuǎn)的改革法案 ”。 Electronic Commerce 電子商務(wù) 第 17講 附件 7/36 背景資料 ?SOX法案主要解決什么問題？ ?再建立上市公司高管人員責(zé)任追究機(jī)制 ； ?強(qiáng)化內(nèi)外制衡 ； ?加強(qiáng)內(nèi)部獨(dú)立監(jiān)督能力 ； ?杜絕注冊會計(jì)師利益瓜葛 ； ?會計(jì)師行業(yè)由自律改為監(jiān)管 ； ?確保證券分析師的客觀性和獨(dú)立性 ； ?加強(qiáng)刑事處罰。 ② 2. 信息安全 : 包括信息安全組織、邏輯安全、物理安全、網(wǎng)絡(luò)安全、病毒防護(hù)、第三方管理、事件響應(yīng)等。 ② 2. 準(zhǔn)確性 : 所有的數(shù)據(jù)（包括金額和賬戶）是正確和合理的 。 Electronic Commerce 電子商務(wù) 第 17講 附件 13/36 SOX法案與信息安全 ? 應(yīng)用系統(tǒng)控制 ?上市公司內(nèi)部可能應(yīng)用各類信息系統(tǒng)，進(jìn)行應(yīng)用系統(tǒng)控制之前，首先應(yīng)對公司應(yīng)用的信息系統(tǒng)進(jìn)行判斷，界定是否屬于與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)，判定原則包括 : ① 1. 該應(yīng)用系統(tǒng)是否用于進(jìn)行有關(guān)重要交易事項(xiàng)的生成、授權(quán)、記錄、處理或報(bào)告 。根據(jù)業(yè)界最新的統(tǒng)計(jì)，截止到 2022年 4月份，在所有報(bào)告的實(shí)質(zhì)性漏洞 (Material Weakness)中，SoD一項(xiàng)就占了 5％以上，因此必須對與財(cái)務(wù)報(bào)告相關(guān)的關(guān)鍵應(yīng)用系統(tǒng)的用戶進(jìn)行合理的管理，以實(shí)現(xiàn)用戶的授權(quán)適當(dāng)和合理分工。 ?對電子表格的控制包括開發(fā)控制、變更控制、版本控制、存取控制、輸入控制、安全控制、存儲歸檔控制、備份控制、文檔記錄、權(quán)限控制、邏輯檢查。該體系以 全面保護(hù)、實(shí)時(shí)監(jiān)控、專家響應(yīng) 為基本元素，建立了一套閉環(huán)服務(wù)體系，這種全面的安全服務(wù)體系能完全使企業(yè)擺脫維護(hù)系統(tǒng)安全的煩惱，并從最大程度上提高投資回報(bào)率。 ?該法案的第 404條要求上市公司的管理層提交一份內(nèi)部控制效率年度報(bào)告。 ?IBM Workplace for Business Controls and Reporting 自動評估業(yè)務(wù)控制。當(dāng)用戶通過數(shù)據(jù)庫的身份驗(yàn)證后，系統(tǒng)對用戶的行為沒有控制。 ?通過 部署加固代理服務(wù)器 ，進(jìn)而實(shí)現(xiàn)管理平臺和應(yīng)用服務(wù)器邏輯上的物理隔離，保證了對應(yīng)用服務(wù)器訪問的安全性； ?同時(shí)，管理員只能通過 帶外方式 ，由 Console口登錄代理服務(wù)器 ，實(shí)現(xiàn)了對系統(tǒng)的保護(hù)； ?另外，通過部署 統(tǒng)一接入服務(wù)器以及 syslog/NFS服務(wù)器，實(shí)現(xiàn)統(tǒng)一接入、審計(jì)和認(rèn)證管理。 ?該法案規(guī)定，企業(yè)的 CEO必須對企業(yè)財(cái)務(wù)數(shù)據(jù)的真實(shí)性負(fù)責(zé)，否則要承擔(dān)最多監(jiān)禁 25年的刑事責(zé)任！其中有一段規(guī)定： CEO必須將這些財(cái)務(wù)信息保存 8年以上，供隨時(shí)審計(jì)，其中過程、由網(wǎng)絡(luò)產(chǎn)生的數(shù)據(jù)都作為審計(jì)對象。 Electronic Commerce 電子商務(wù) 第 17講 附件 33/36 SOX法案對信息安全行業(yè)的影響 ? SOX約束的對象 ?該法案的法律效力適用于在美國證券交易委員會注冊的約 14000家公司，其中包括大量非美國公司。 Tivoli Identity Manager根據(jù)用戶權(quán)限檢查每一項(xiàng)變更請求。 Electronic Commerce 電子商務(wù) 第 17講 附件 28/36 針對 SOX法案的信息安全方案 ? IBM公司的 SOX解決方案： ?Tivoli 能夠幫助客戶分析差距，并幫助客戶縮短這些差距。 ?例如，法案要求公司不僅要提供嚴(yán)格的年度報(bào)告，而且必須隨時(shí)準(zhǔn)備” 實(shí)時(shí)的 ”內(nèi)部檢查和財(cái)務(wù)檢查。現(xiàn)在 SOX第404條要求他們必須進(jìn)行內(nèi)部控制，在這一點(diǎn)上 IBM能夠提供幫助。 ?特點(diǎn)： 以薩班斯（ SOX）法案對內(nèi)控系統(tǒng)的安全需求為根本，制定了全新的風(fēng)險(xiǎn)評估、應(yīng)急響應(yīng)、安全加固等服務(wù)。即使相對簡單的電子表格計(jì)算的一個(gè)偏差也可能會對財(cái)務(wù)報(bào)告及披露產(chǎn)生重大錯(cuò)報(bào)的風(fēng)險(xiǎn)。 ⑤ 5. 上述應(yīng)用控制是否是惟一依賴的控制措施，是否存在手工控制可以達(dá)到控制目標(biāo)，彌補(bǔ)風(fēng)險(xiǎn)。 異常情況被發(fā)現(xiàn)和處理。 ⑥ 6. 最終用戶操作
試題試卷相關(guān)推薦
鄂ICP備17016276號-1