【文章內(nèi)容簡介】 ?《 信息系統(tǒng)總體控制實施辦法 》 中石油信息系統(tǒng)總體控制制度體系旨在整個公司范圍內(nèi)更加科學(xué) 、 規(guī)范地應(yīng)用信息技術(shù) ， 提高企業(yè)在信息技術(shù)開發(fā) 、 實施 、 運營活動方面的控制能力 ， 增強日常信息工作效率 ， 更好地保護信息資產(chǎn) ， 提高信息技術(shù)對業(yè)務(wù)的支持力度 。 信息系統(tǒng)總體控制實施辦法是信息系統(tǒng)總體控制制度體系的重要組成部分 ， 是根據(jù)信息系統(tǒng)總體控制的要求制定的 、 用于指導(dǎo)日常信息技術(shù)管理和運營的管理流程和具體要求 。 28 中石油信息系統(tǒng)總體控制的發(fā)展 (續(xù) ) GCC 實施辦法 《 信息系統(tǒng)總體控制實施辦法 》 涵蓋了 IT管理和運營所涉及的各個方面 : ? 控制環(huán)境 ? 信息技術(shù)組織 ? 人力資源管理 ? 信息溝通 ? 風險評估 ? 監(jiān)控 ? 信息安全 ? 信息安全組織 ? 邏輯安全 ? 物理安全 ? 網(wǎng)絡(luò)安全 ? 病毒防護 ? 第三方管理 ? 安全事件響應(yīng) ? 項目建設(shè)管理 ? 項目立項 – 項目立項審批 – 商業(yè)軟件及硬件的外購 ? 項目建設(shè)方法論 – 項目啟動 – 需求分析 – 項目設(shè)計 – 系統(tǒng)開發(fā)實施 – 系統(tǒng)測試 – 數(shù)據(jù)移植 – 系統(tǒng)上線 – 項目驗收和上線后審閱 ? 項目管理 – 項目培訓(xùn)管理 – 項目文檔管理 – 項目問題管理 – 項目變更管理 ? 系統(tǒng)變更 ? 日常變更 ? 緊急變更 ? 信息系統(tǒng)日常運作 ? 機房環(huán)境控制 ? 日常監(jiān)控 ? 批處理作業(yè)管理 ? 備份與恢復(fù) ? 問題管理 29 內(nèi)容提要 ? 內(nèi)部控制與 COSO框架模型 ? 信息系統(tǒng)總體控制 GCC簡介 ? 中石油信息系統(tǒng)總體控制簡介 ? 中石油信息系統(tǒng)總體控制與審計關(guān)注點 ? 中石油信息系統(tǒng)總體控制 ? 中石油 GCC例外事項舉例 30 數(shù)據(jù)庫 應(yīng)用系統(tǒng) 操作系統(tǒng) 網(wǎng)絡(luò)環(huán)境 增加風險水平 信息安全領(lǐng)域最主要的控制目標是確保財務(wù)數(shù)據(jù)的安全性。隨著制度層面、網(wǎng)絡(luò)層面、操作系統(tǒng)層面、應(yīng)用系統(tǒng)層面、數(shù)據(jù)庫層面系統(tǒng)數(shù)據(jù)的可接觸性逐步增加，以上各個層面對數(shù)據(jù)安全性的威脅程度（即：風險）也逐步增大。 基于風險的不同，信息安全控制領(lǐng)域的關(guān)鍵控制與測試程度也在不同的信息技術(shù)層面存在差異。 中石油信息系統(tǒng)總體控制 （信息安全） 31 中石油信息系統(tǒng)總體控制 （信息安全） 序號 控制目標描述 內(nèi)部控制點描述 控制頻率 預(yù)防型/發(fā)現(xiàn)型 控制實施證據(jù) GIT 能夠在合理的范圍內(nèi)確立信息安全管理組織及人員的安全職責，以避免信息系統(tǒng)、資源和數(shù)據(jù)受到有意或無意的危害或誤用。 信息安全管理負責人定期（每六個月）審核本單位信息系統(tǒng)總體控制活動的職責分離狀況，填寫 《 職責分離檢查表 》 ，將不符情況報相關(guān)負責人。 半年 預(yù)防型 《 職責分離檢查表 》 GIT 能夠在合理的范圍內(nèi)有效防止對信息系統(tǒng)（包括數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)、應(yīng)用系統(tǒng)）的未授權(quán)邏輯接觸。 用戶需要直接訪問系統(tǒng)中的數(shù)據(jù)時，應(yīng)提出申請，由用戶主管領(lǐng)導(dǎo)和應(yīng)用系統(tǒng)負責人進行審批后執(zhí)行。 按需 預(yù)防型 《 數(shù)據(jù)庫直接訪問申請表 》 32 中石油信息系統(tǒng)總體控制 （信息安全） 序號 控制目標描述 內(nèi)部控制點描述 控制頻率 預(yù)防型/發(fā)現(xiàn)型 控制實施證據(jù) GIT 能夠在合理的范圍內(nèi)確保用戶被授予的系統(tǒng)權(quán)限和他們的工作職責相符，滿足職責分離的要求。用戶帳號的增加、變動、刪除能及時執(zhí)行以減少未經(jīng)授權(quán)或不恰當?shù)膶ω攧?wù)報告有關(guān)的應(yīng)用系統(tǒng)和數(shù)據(jù)的接觸 應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)（含網(wǎng)絡(luò)操作系統(tǒng)）及網(wǎng)絡(luò)設(shè)備的帳號及權(quán)限的申請、變更及撤銷需要經(jīng)過有效的審批或授權(quán)，審批時應(yīng)對照職責分離矩陣進行檢查，確保用戶權(quán)限申請和變更符合職責分離要求。 按需 預(yù)防型 《 用戶賬號及權(quán)限申請表 》 GIT 能夠在合理的范圍內(nèi)確信管理層或系統(tǒng)所有者定期審閱與財務(wù)報告有關(guān)的應(yīng)用系統(tǒng)及數(shù)據(jù)的接觸權(quán)限以確定授予權(quán)限的適當性。 應(yīng)用系統(tǒng)負責人每三個月審核應(yīng)用系統(tǒng)的用戶賬號和用戶權(quán)限設(shè)置。 每季 發(fā)現(xiàn)型 《 用戶賬號及權(quán)限檢查表 》 GIT 應(yīng)用系統(tǒng)負責人每三個月審核數(shù)據(jù)庫管理員和操作系統(tǒng)管理員的賬號及權(quán)限設(shè)置。 網(wǎng)絡(luò)管理負責人每三個月審核網(wǎng)絡(luò)管理員的賬號及權(quán)限設(shè)置。 每季 發(fā)現(xiàn)型 《 用戶賬號及權(quán)限檢查表 》 33 中石油信息系統(tǒng)總體控制 （信息安全） 序號 控制目標描述 內(nèi)部控制點描述 控制頻率 預(yù)防型/發(fā)現(xiàn)型 控制實施證據(jù) GIT 能夠在合理的范圍內(nèi)確保實施安全的口令標準以降低由于口令被破解而導(dǎo)致信息系統(tǒng)被非法接觸的風險。 應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備等系統(tǒng)的廠商初始口令在系統(tǒng)投入使用前進行修改。 按需 預(yù)防型 初始口令無法登錄拷屏 GIT 能夠在合理的范圍內(nèi)確保企業(yè)操作系統(tǒng)有適當?shù)陌踩渲靡员ＷC公司信息系統(tǒng)與資源的安全。 信息安全管理負責人在操作系統(tǒng)管理員協(xié)助下，每年審核Windows服務(wù)器操作系統(tǒng)設(shè)置是否符合標準配置方案。 每年 預(yù)防型 《 操作系統(tǒng)安全配置檢查表 》 GIT 信息安全管理負責人在操作系統(tǒng)管理員協(xié)助下，每年審核Unix服務(wù)器操作系統(tǒng)設(shè)置是否符合標準配置方案。 GIT 信息安全管理負責人在操作系統(tǒng)管理員協(xié)助下，每年審核Linux服務(wù)器操作系統(tǒng)設(shè)置是否符合標準配置方案。 34 中石油信息系統(tǒng)總體控制 （信息安全） 序號 控制目標描述 內(nèi)部控制點描述 控制頻率 預(yù)防型/發(fā)現(xiàn)型 控制實施證據(jù) GIT 能夠在合理的范圍內(nèi)確保對企業(yè)內(nèi)部網(wǎng)絡(luò)的外部 Inter接入點采取了足夠的安全保障措施，以防止未經(jīng)授權(quán)的外部人員接觸公司信息系統(tǒng)與資源。 信息安全管理負責人在網(wǎng)絡(luò)管理員協(xié)助下，定期（每三個月）審核防火墻配置是否符合安全配置標準。 每季 預(yù)防型 《 防火墻安全配置檢查表 》 GIT 各級信息技術(shù)部門對邊界網(wǎng)絡(luò)出口進行登記，并報股份公司信息管理部審批。各級信息技術(shù)部門需新增邊界網(wǎng)絡(luò)出口時，應(yīng)填寫 《 邊界網(wǎng)絡(luò)出口申請表 》 ，報股份公司信息管理部審批同意后執(zhí)行。 按需 預(yù)防型 《 邊界網(wǎng)絡(luò)出口申請表 》 GIT 網(wǎng)絡(luò)管理員每周檢查防火墻日志，對檢查結(jié)果簽字確認。 每周 發(fā)現(xiàn)型 《 防火墻日志檢查表 》 35 中石油信息系統(tǒng)總體控制 （信息安全） 序號 控制目標描述 內(nèi)部控制點描述 控制頻率 預(yù)防型/發(fā)現(xiàn)型 控制實施證據(jù) GIT 能夠在合理的范圍內(nèi)確保已經(jīng)建立了對數(shù)據(jù)中心、機房及敏感的紙質(zhì)系統(tǒng)文件的有效的物理安全控制，并確信其接觸僅限于授權(quán)的人員。 進入機房人員需根據(jù)進入機房的事由，經(jīng)進入機房授權(quán)人員同意后，按規(guī)定填寫 《 機房出入登記表 》 進入機房。機房負責人定期檢查機房出入登記情況。 按需 預(yù)防型 《 機房出入登記表 》 GIT 能夠在合理的范圍內(nèi)確保對企業(yè)內(nèi)部網(wǎng)絡(luò)資源和應(yīng)用程序的遠程接入建立有效的安全機制以防止對企業(yè)系統(tǒng)資源未經(jīng)授權(quán)的接觸。 用戶申請遠程登錄帳號時，填寫 《 遠程登錄帳號申請表 》 并提交給用戶主管