it內(nèi)控體系建立與實(shí)施(參考版)
2025-05-14 17:30本頁(yè)面
【正文】 電子表格文件備份計(jì)劃 電子表格文件備份記錄 41 41 結(jié)束 。 41 37 電子表格的控制變化 模板 設(shè)計(jì) 模板 使用 模板 維護(hù) 數(shù)據(jù) 訪問(wèn) 控制 數(shù)據(jù) 編輯 電子表格流程控制 電子表格 個(gè)人控制 41 38 電子表格控制與被控制分離的原則 電子表格維護(hù)人 電子表格使用人 電子表格設(shè)計(jì)人 電子表格訪問(wèn)人 41 39 電子表格業(yè)務(wù)流程控制 開(kāi)始 設(shè)計(jì)人：進(jìn)行電子表格模板設(shè)計(jì)與開(kāi)發(fā) 使用人：采用電子表格模 板進(jìn)行數(shù)據(jù)的輸入和編輯 訪問(wèn)人：對(duì)電子 表格數(shù)據(jù)進(jìn)行查詢 結(jié)束 使用人：對(duì)電子表格模板最終確認(rèn) 使用人：提出申請(qǐng) 設(shè)計(jì)人：組織維護(hù)人進(jìn)行測(cè)試 是否通過(guò) 測(cè)試報(bào)告 維護(hù)人：對(duì)電子 表格模板維護(hù)管理 目錄清單 申請(qǐng)書(shū) 使用人部門主任：審核簽字 測(cè)試報(bào)告 使用人：確定電子表格的使用 權(quán)限，分別定義電子表格數(shù)據(jù) 的創(chuàng)建、更新、刪除與查詢權(quán)限 維護(hù)人：電子表格 模板是否有問(wèn)題 授權(quán)書(shū) 授權(quán)書(shū) 授權(quán)書(shū) 授權(quán)書(shū) 41 40 電子表格的存儲(chǔ)訪問(wèn)控制 系統(tǒng)管理員 :電子表格維護(hù)人來(lái)?yè)?dān)任 應(yīng)用管理員 :電子表格使用人來(lái)?yè)?dān)任 系統(tǒng)管理員建立三個(gè)文件夾 : 電子表格數(shù)據(jù)管理，為共享模式； 電子表格模板管理，為共享模式； 電子表格數(shù)據(jù)備份管理。 ? 由于此項(xiàng)制度編寫全面，可操作性強(qiáng)，滿足了電子表格內(nèi)控要求，受到集團(tuán)公司內(nèi)控工作組的表?yè)P(yáng)，集團(tuán)公司所屬其它省也借鑒了河北省分公司的此項(xiàng)制度。在電子表格內(nèi)控開(kāi)始階段，大家對(duì)電子表格的定義和如何開(kāi)展工作沒(méi)有明晰的認(rèn)識(shí)，困難重重。 41 36 八、組織各單位，開(kāi)展電子表格內(nèi)控管理，滿足內(nèi)控要求。 ? 原網(wǎng)通河北省分公司 IT內(nèi)控工作組積極與公司 COSO組溝通，完成了 IT內(nèi)控與 COSO內(nèi)控流程進(jìn)行有效銜接。電源、溫度、濕度不符合要求 小1 、業(yè)務(wù)連續(xù)性受到影響2 、可能造成數(shù)據(jù)丟失，甚至業(yè)務(wù)無(wú)法回復(fù)陣列放置在了正規(guī)的機(jī)房，對(duì)各種機(jī)房指標(biāo)都有嚴(yán)格的控制 很低 無(wú)機(jī)房的物理訪問(wèn)控制可能不十分嚴(yán)格非法或不合規(guī)的機(jī)房物理訪問(wèn) 小陣列有單獨(dú)管理的鑰匙，但如遭惡意破壞，可能造成服務(wù)器硬件損壞1 、嚴(yán)格的機(jī)房訪問(wèn)控制，機(jī)房出入登記制度2 、陣列有單獨(dú)管理的鑰匙， 很低 無(wú)硬件有一定的故障幾率 設(shè)備硬件老化 小1 、硬件重新購(gòu)置費(fèi)用2 、需要時(shí)備份數(shù)據(jù)不可用，可能影響業(yè)務(wù)的預(yù)期恢復(fù)1 、維保合同2 、對(duì)備份是否成功的定期檢查 很低 無(wú)易受電源、溫度等不穩(wěn)定影響。 41 33 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估過(guò)程 確定信息資產(chǎn)或管理工作的范圍 開(kāi)始 確定信息資產(chǎn)或管理工作 本身存在的弱點(diǎn)或漏洞 確定信息資產(chǎn)或管 理工作面臨的威脅 確定目前信息系統(tǒng)或管 理工作采取的控制措施 結(jié)合信息資產(chǎn)本身或管理工作 的弱點(diǎn)或漏洞及面臨的威脅， 考察目前已采取的控制措施， 確定信息系統(tǒng)或管理工作有可 能出現(xiàn)的問(wèn)題（風(fēng)險(xiǎn)）； 對(duì)可能出現(xiàn)的問(wèn)題進(jìn)行排序， 確定風(fēng)險(xiǎn)的優(yōu)先級(jí)和控制水平 提交公司安全現(xiàn)狀風(fēng)險(xiǎn)報(bào)告， 提供風(fēng)險(xiǎn)列表，歸類風(fēng)險(xiǎn)等級(jí) 結(jié)束41 34 事例：綜合結(jié)算系統(tǒng)資產(chǎn)風(fēng)險(xiǎn)評(píng)估表 序號(hào)信息資產(chǎn)類別資產(chǎn)詳細(xì)名稱資產(chǎn)本身存在的弱點(diǎn)或漏洞資產(chǎn)存在的外部威脅威脅發(fā)生的可能性威脅發(fā)生的后果目前采取的控制措施確定可能會(huì)出現(xiàn)的問(wèn)題（風(fēng)險(xiǎn)）確定風(fēng)險(xiǎn)的優(yōu)先級(jí)風(fēng)險(xiǎn)的控制水平提出整改建議易受參數(shù)配置的影響產(chǎn)生錯(cuò)誤可能遭到非法訪問(wèn)或數(shù)據(jù)竄改 小1 、業(yè)務(wù)連續(xù)性受到影響2 、業(yè)務(wù)數(shù)據(jù)的真實(shí)性受影響1 、適當(dāng)設(shè)置安全參數(shù)并定期檢查2 、正確設(shè)置其他參數(shù)3 、定期的參數(shù)復(fù)核檢查流程 很低 無(wú)硬件有一定的故障幾率 設(shè)備硬件老化 小1 、業(yè)務(wù)連續(xù)性受到影響2 、硬件重新購(gòu)置的費(fèi)用1 、維保合同2 、雙機(jī)等冗余配置 很低 無(wú)易受電源、溫度等不穩(wěn)定影響。 ? 依據(jù)風(fēng)險(xiǎn)管理理論，我們將信息系統(tǒng)分為實(shí)物、軟件、信息、服務(wù)等四類資產(chǎn)，從資產(chǎn)本身的弱點(diǎn)或漏洞、資產(chǎn)存在的外部威脅、威脅發(fā)生的可能性、威脅發(fā)生的后果、目前采取的措施等五個(gè)方面，建立 《 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估矩陣 》 ，組織公司所屬各單位對(duì)各個(gè)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，找出目前信息系統(tǒng)存在的隱患，以應(yīng)用系統(tǒng)為單位，制定針對(duì)性應(yīng)急預(yù)案，進(jìn)行模擬演練，并保留演練文檔。 41 32 六、開(kāi)展信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估，模擬演練預(yù)案。 ? 在上述工作基礎(chǔ)上， 2021年，網(wǎng)通河北省分公司 IT內(nèi)控工作組兩次對(duì)全省各單位進(jìn)行內(nèi)控測(cè)試工作。 變更管理員職責(zé)； 信息系統(tǒng)服務(wù)支撐部門職責(zé)。 《 信息系統(tǒng)變更申請(qǐng) 》 ； 《 信息系統(tǒng)變更方案 》 ； 《 變更通知單 》 ； 《 信息系統(tǒng)變更計(jì)劃 》 ； 《 應(yīng)急回退方案和回退時(shí)間點(diǎn) 》 ； 《 備份記錄 》 ； 《 信息系統(tǒng)變更版本控制記錄 》 ； 《 xx系統(tǒng)參數(shù)配置
醫(yī)療健康相關(guān)推薦
鄂ICP備17016276號(hào)-1