企業(yè)內(nèi)部控制應用指引之內(nèi)部信息傳遞-資料下載頁
2025-07-20 09:43本頁面
【正文】 造成信息泄露。第四，對各種計算機病毒防范清理不力，導致系統(tǒng)運行不穩(wěn)定甚至癱瘓。第五，缺乏對信息系統(tǒng)操作人員的嚴密監(jiān)控，可能導致舞弊和利用計算機犯罪。 主要控制措施是：第一，建立信息系統(tǒng)相關(guān)資產(chǎn)的管理制度，保證電子設(shè)備的安全。硬件和網(wǎng)絡(luò)設(shè)備不僅是信息系統(tǒng)運行的基礎(chǔ)載體，也是價值昂貴的固定資產(chǎn)。企業(yè)應在健全設(shè)備管理制度的基礎(chǔ)上，建立專門的電子設(shè)備管控制度，對于關(guān)鍵信息設(shè)備，未經(jīng)授權(quán)，不得接觸。 第二，企業(yè)應成立專門的信息系統(tǒng)安全管理機構(gòu)，由企業(yè)主要領(lǐng)導負總責，對企業(yè)的信息安全作出總體規(guī)劃和全方位嚴格管理，具體實施工作可由企業(yè)的信息主管部門負責。企業(yè)應強化全體員工的安全保密意識，特別要對重要崗位員工進行信息系統(tǒng)安全保密培訓，并簽署安全保密協(xié)議。 企業(yè)應當建立信息系統(tǒng)安全保密制度和泄密責任追究制度。 第三，企業(yè)應當按照國家相關(guān)法律法規(guī)以及信息安全技術(shù)標準，制定信息系統(tǒng)安全實施細則。 根據(jù)業(yè)務性質(zhì)、重要程度、涉密情況等確定信息系統(tǒng)的安全等級，建立不同等級信息的授權(quán)使用制度，采用相應技術(shù)手段保證信息系統(tǒng)運行安全有序。對于信息系統(tǒng)的使用者和不同安全等級信息之間的授權(quán)關(guān)系，應在系統(tǒng)開發(fā)建設(shè)階段就形成方案并加以設(shè)計，在軟件系統(tǒng)中預留這種對應關(guān)系的設(shè)置功能，以便根據(jù)使用者崗位職務的變遷進行調(diào)整。 第五， 企業(yè)應當有效利用IT技術(shù)手段，對硬件配置調(diào)整、軟件參數(shù)修改嚴加控制。企業(yè)可利用操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應用系統(tǒng)提供的安全機制，設(shè)置安全參數(shù)，保證系統(tǒng)訪問安全；對于重要的計算機設(shè)備，企業(yè)應當利用技術(shù)手段防止員工擅自安裝、卸載軟件或者改變軟件系統(tǒng)配置，并定期對上述情況進行檢查。 第五，企業(yè)委托專業(yè)機構(gòu)進行系統(tǒng)運行與維護管理的，應當嚴格審查其資質(zhì)條件、市場聲譽和信用狀況等，并與其簽訂正式的服務合同和保密協(xié)議。 第六，企業(yè)應當采取安裝安全軟件等措施防范信息系統(tǒng)受到病毒等惡意軟件的感染和破壞。企業(yè)應當特別注重加強對服務器等關(guān)鍵部位的防護；對于存在網(wǎng)絡(luò)應用的企業(yè)，應當綜合利用防火墻、路由器等網(wǎng)絡(luò)設(shè)備，采用內(nèi)容過濾、漏洞掃描、入侵檢測等軟件技術(shù)加強網(wǎng)絡(luò)安全，嚴密防范來自互聯(lián)網(wǎng)的黑客攻擊和非法侵入。對于通過互聯(lián)網(wǎng)傳輸?shù)纳婷芑蛘哧P(guān)鍵業(yè)務數(shù)據(jù)，企業(yè)應當采取必要的技術(shù)手段確保信息傳遞的保密性、準確性、完整性。 第七，企業(yè)應當建立系統(tǒng)數(shù)據(jù)定期備份制度，明確備份范圍、頻度、方法、責任人、存放地點、有效性檢查等內(nèi)容。系統(tǒng)首次上線運行時應當完全備份，然后根據(jù)業(yè)務頻率和數(shù)據(jù)重要性程度，定期做好增量備份。數(shù)據(jù)正本與備份應分別存放于不同地點，防止因火災、水災、地震等事故產(chǎn)生不利影響。企業(yè)可綜合采用磁盤、磁帶、光盤等備份存儲介質(zhì)。 第八，企業(yè)應當建立信息系統(tǒng)開發(fā)、運行與維護等環(huán)節(jié)的崗位責任制度和不相容職務分離制度，防范利用計算機舞弊和犯罪。一般而言，信息系統(tǒng)不相容職務涉及的人員可以分為三類：系統(tǒng)開發(fā)建設(shè)人員、系統(tǒng)管理和維護人員、系統(tǒng)操作使用人員。開發(fā)人員在運行階段不能操作使用信息系統(tǒng)，否則就可能掌握其中的涉密數(shù)據(jù)，進行非法利用；系統(tǒng)管理和維護人員承擔密碼保管、授權(quán)、系統(tǒng)變更等關(guān)鍵任務，如果允許其使用信息系統(tǒng)，就可能較為容易地篡改數(shù)據(jù)，從而達到侵吞財產(chǎn)或濫用計算機信息的目的。此外，信息系統(tǒng)使用人員也需要區(qū)分不同崗位，包括業(yè)務數(shù)據(jù)錄入、數(shù)據(jù)檢查、業(yè)務批準等，在他們之間也應有必要的相互牽制。企業(yè)應建立用戶管理制度，加強對重要業(yè)務系統(tǒng)的訪問權(quán)限管理，避免將不相容職責授予同一用戶。企業(yè)應當采用密碼控制等技術(shù)手段進行用戶身份識別。對于重要的業(yè)務系統(tǒng)，應當采用數(shù)字證書、生物識別等可靠性強的技術(shù)手段識別用戶身份。對于發(fā)生崗位變化或離崗的用戶，用戶部門應當及時通知系統(tǒng)管理人員調(diào)整其在系統(tǒng)中的訪問權(quán)限或者關(guān)閉賬號。企業(yè)應當定期對系統(tǒng)中的賬號進行審閱，避免存在授權(quán)不當或非授權(quán)賬號。對于超級用戶，企業(yè)應當嚴格規(guī)定其使用條件和操作程序，并對其在系統(tǒng)中的操作全程進行監(jiān)控或?qū)徲嫛?第九，企業(yè)應積極開展信息系統(tǒng)風險評估工作，定期對信息系統(tǒng)進行安全評估，及時發(fā)現(xiàn)系統(tǒng)安全問題并加以整改。 （四）系統(tǒng)終結(jié)的關(guān)鍵控制點和主要控制措施系統(tǒng)終結(jié)是信息系統(tǒng)生命周期的最后一個階段，在該階段信息系統(tǒng)將停止運行。停止運行的原因通常有：企業(yè)破產(chǎn)或被兼并、原有信息系統(tǒng)被新的信息系統(tǒng)代替。這一環(huán)節(jié)的主要風險是：第一， 因經(jīng)營條件發(fā)生劇變，數(shù)據(jù)可能泄密。第二，信息檔案的保管期限不夠長。 主要控制措施：第一，要做好善后工作，不管因何種情況導致系統(tǒng)停止運行，都應將廢棄系統(tǒng)中有價值或者涉密的信息進行銷毀、轉(zhuǎn)移。第二，嚴格按照國家有關(guān)法規(guī)制度和對電子檔案的管理規(guī)定（比如審計準則對審計證據(jù)保管年限的要求），妥善保管相關(guān)信息檔案。12 / 12
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1