信息系統(tǒng)內(nèi)控設(shè)計(jì)要點(diǎn)-資料下載頁
2025-06-29 00:08本頁面
【正文】 息安全技術(shù)標(biāo)準(zhǔn)，制定信息系統(tǒng)安全實(shí)施細(xì)則。根據(jù)業(yè)務(wù)性質(zhì)、重要程度、涉密情況等確定信息系統(tǒng)的安全等級，建立不同等級信息的授權(quán)使用制度，采用相應(yīng)技術(shù)手段保證信息系統(tǒng)運(yùn)行安全有序。對于信息系統(tǒng)的使用者和不同安全等級信息之間的授權(quán)關(guān)系，應(yīng)在系統(tǒng)開發(fā)建設(shè)階段就形成方案并加以設(shè)計(jì)，在軟件系統(tǒng)中預(yù)留這種對應(yīng)關(guān)系的設(shè)置功能，以便根據(jù)使用者崗位職務(wù)的變遷進(jìn)行調(diào)整。第四，企業(yè)應(yīng)當(dāng)有效利用IT技術(shù)手段，對硬件配置調(diào)整、軟件參數(shù)修改嚴(yán)加控制。例如，企業(yè)可利用操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)提供的安全機(jī)制，設(shè)置安全參數(shù)，保證系統(tǒng)訪問安全；對于重要的計(jì)算機(jī)設(shè)備，企業(yè)應(yīng)當(dāng)利用技術(shù)手段防止員工擅自安裝、卸載軟件或者改變軟件系統(tǒng)配置，并定期對上述情況進(jìn)行檢查。第五，企業(yè)委托專業(yè)機(jī)構(gòu)進(jìn)行系統(tǒng)運(yùn)行與維護(hù)管理的，應(yīng)當(dāng)嚴(yán)格審查其資質(zhì)條件、市場聲譽(yù)和信用狀況等，并與其簽訂正式的服務(wù)合同和保密協(xié)議。第六，企業(yè)應(yīng)當(dāng)采取安裝安全軟件等措施防范信息系統(tǒng)受到病毒等惡意軟件的感染和破壞。企業(yè)應(yīng)當(dāng)特別注重加強(qiáng)對服務(wù)器等關(guān)鍵部位的防護(hù)；對于存在網(wǎng)絡(luò)應(yīng)用的企業(yè)，應(yīng)當(dāng)綜合利用防火墻、路由器等網(wǎng)絡(luò)設(shè)備，采用內(nèi)容過濾、漏洞掃描、入侵檢測等軟件技術(shù)加強(qiáng)網(wǎng)絡(luò)安全，嚴(yán)密防范來自互聯(lián)網(wǎng)的黑客攻擊和非法侵入。對于通過互聯(lián)網(wǎng)傳輸?shù)纳婷芑蛘哧P(guān)鍵業(yè)務(wù)數(shù)據(jù)，企業(yè)應(yīng)當(dāng)采取必要的技術(shù)手段確保信息傳遞的保密性、準(zhǔn)確性、完整性。第七，企業(yè)應(yīng)當(dāng)建立系統(tǒng)數(shù)據(jù)定期備份制度，明確備份范圍、頻度、方法、責(zé)任人、存放地點(diǎn)、有效性檢查等內(nèi)容。系統(tǒng)首次上線運(yùn)行時(shí)應(yīng)當(dāng)完全備份，然后根據(jù)業(yè)務(wù)頻率和數(shù)據(jù)重要性程度，定期做好增量備份。數(shù)據(jù)正本與備份應(yīng)分別存放于不同地點(diǎn)，防止因火災(zāi)、水災(zāi)、地震等事故產(chǎn)生不利影響。企業(yè)可綜合采用磁盤、磁帶、光盤等備份存儲介質(zhì)。第八，企業(yè)應(yīng)當(dāng)建立信息系統(tǒng)開發(fā)、運(yùn)行與維護(hù)等環(huán)節(jié)的崗位責(zé)任制度和不相容職務(wù)分離制度，防范利用計(jì)算機(jī)舞弊和犯罪。一般而言，信息系統(tǒng)不相容職務(wù)涉及的人員可以分為三類：系統(tǒng)開發(fā)建設(shè)人員、系統(tǒng)管理和維護(hù)人員、系統(tǒng)操作使用人員。開發(fā)人員在運(yùn)行階段不能操作使用信息系統(tǒng)，否則就可能掌握其中的涉密數(shù)據(jù)，進(jìn)行非法利用；系統(tǒng)管理和維護(hù)人員擔(dān)任密碼保管、授權(quán)、系統(tǒng)變更等關(guān)鍵任務(wù)，如果允許其使用信息系統(tǒng)，就可能較為容易地篡改數(shù)據(jù)，從而達(dá)到侵吞財(cái)產(chǎn)或?yàn)E用計(jì)算機(jī)信息的目的。此外，信息系統(tǒng)使用人員也需要區(qū)分不同崗位，包括業(yè)務(wù)數(shù)據(jù)錄入、數(shù)據(jù)檢查、業(yè)務(wù)批準(zhǔn)等，在他們之間也應(yīng)有必要的相互牽制。企業(yè)應(yīng)建立用戶管理制度，加強(qiáng)對重要業(yè)務(wù)系統(tǒng)的訪問權(quán)限管理，避免將不相容職責(zé)授予同一用戶。企業(yè)應(yīng)當(dāng)采用密碼控制等技術(shù)手段進(jìn)行用戶身份識別。對于重要的業(yè)務(wù)系統(tǒng)，應(yīng)當(dāng)采用數(shù)字證書、生物識別等可靠性強(qiáng)的技術(shù)手段識別用戶身份。對于發(fā)生崗位變化或離崗的用戶，用戶部門應(yīng)當(dāng)及時(shí)通知系統(tǒng)管理人員調(diào)整其在系統(tǒng)中的訪問權(quán)限或者關(guān)閉賬號。企業(yè)應(yīng)當(dāng)定期對系統(tǒng)中的賬號進(jìn)行審閱，避免存在授權(quán)不當(dāng)或非授權(quán)賬號。對于超級用戶，企業(yè)應(yīng)當(dāng)嚴(yán)格規(guī)定其使用條件和操作程序，并對其在系統(tǒng)中的操作全程進(jìn)行監(jiān)控或?qū)徲?jì)。第九，企業(yè)應(yīng)積極開展信息系統(tǒng)風(fēng)險(xiǎn)評估工作，定期對信息系統(tǒng)進(jìn)行安全評估，及時(shí)發(fā)現(xiàn)系統(tǒng)安全問題并加以整改。（四）系統(tǒng)終結(jié)的關(guān)鍵控制點(diǎn)和主要控制措施系統(tǒng)終結(jié)是信息系統(tǒng)生命周期的最后一個(gè)階段，在該階段信息系統(tǒng)將停止運(yùn)行。停止運(yùn)行的原因通常有：企業(yè)破產(chǎn)或被兼并、原有信息系統(tǒng)被新的信息系統(tǒng)代替。這一環(huán)節(jié)的主要風(fēng)險(xiǎn)是，第一，因經(jīng)營條件發(fā)生劇變，數(shù)據(jù)可能泄密。第二，信息檔案的保管期限不夠長。主要控制措施：第一，要做好善后工作，不管因何種情況導(dǎo)致系統(tǒng)停止運(yùn)行，都應(yīng)將廢棄系統(tǒng)中有價(jià)值或者涉密的信息進(jìn)行銷毀、轉(zhuǎn)移。第二，嚴(yán)格按照國家有關(guān)法規(guī)制度和對電子檔案的管理規(guī)定（比如審計(jì)準(zhǔn)則對審計(jì)證據(jù)保管年限的要求），妥善保管相關(guān)信息檔案。
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號-1