中國聯(lián)通通信公司it內控體系建立與實施講解報告(參考版)
2025-05-26 01:24本頁面
【正文】 電子表格文件備份計劃 電子表格文件備份記錄 41 41 企業(yè)通用業(yè)頻道 結束 。 41 37 企業(yè)通用業(yè)頻道 電子表格的控制變化 模板 設計 模板 使用 模板 維護 數據 訪問 控制 數據 編輯 電子表格流程控制 電子表格 個人控制 41 38 企業(yè)通用業(yè)頻道 電子表格控制與被控制分離的原則 電子表格維護人 電子表格使用人 電子表格設計人 電子表格訪問人 41 39 企業(yè)通用業(yè)頻道 電子表格業(yè)務流程控制 開始 設計人：進行電子表格模板設計與開發(fā) 使用人：采用電子表格模 板進行數據的輸入和編輯 訪問人：對電子 表格數據進行查詢 結束 使用人：對電子表格模板最終確認 使用人：提出申請 設計人：組織維護人進行測試 是否通過 測試報告 維護人：對電子 表格模板維護管理 目錄清單 申請書 使用人部門主任：審核簽字 測試報告 使用人：確定電子表格的使用 權限，分別定義電子表格數據 的創(chuàng)建、更新、刪除與查詢權限 維護人：電子表格 模板是否有問題 授權書 授權書 授權書 授權書 41 40 企業(yè)通用業(yè)頻道 電子表格的存儲訪問控制 系統(tǒng)管理員 :電子表格維護人來擔任 應用管理員 :電子表格使用人來擔任 系統(tǒng)管理員建立三個文件夾 : 電子表格數據管理，為共享模式； 電子表格模板管理，為共享模式； 電子表格數據備份管理。 ? 由于此項制度編寫全面，可操作性強，滿足了電子表格內控要求，受到集團公司內控工作組的表揚，集團公司所屬其它省也借鑒了河北省分公司的此項制度。在電子表格內控開始階段，大家對電子表格的定義和如何開展工作沒有明晰的認識，困難重重。 41 36 企業(yè)通用業(yè)頻道 八、組織各單位，開展電子表格內控管理，滿足內控要求。 ? 原網通河北省分公司 IT內控工作組積極與公司 COSO組溝通，完成了 IT內控與 COSO內控流程進行有效銜接。電源、溫度、濕度不符合要求 小1 、業(yè)務連續(xù)性受到影響2 、可能造成數據丟失，甚至業(yè)務無法回復陣列放置在了正規(guī)的機房，對各種機房指標都有嚴格的控制 很低 無機房的物理訪問控制可能不十分嚴格非法或不合規(guī)的機房物理訪問 小陣列有單獨管理的鑰匙，但如遭惡意破壞，可能造成服務器硬件損壞1 、嚴格的機房訪問控制，機房出入登記制度2 、陣列有單獨管理的鑰匙， 很低 無硬件有一定的故障幾率 設備硬件老化 小1 、硬件重新購置費用2 、需要時備份數據不可用，可能影響業(yè)務的預期恢復1 、維保合同2 、對備份是否成功的定期檢查 很低 無易受電源、溫度等不穩(wěn)定影響。 41 33 企業(yè)通用業(yè)頻道 信息系統(tǒng)風險評估過程 確定信息資產或管理工作的范圍 開始 確定信息資產或管理工作 本身存在的弱點或漏洞 確定信息資產或管 理工作面臨的威脅 確定目前信息系統(tǒng)或管 理工作采取的控制措施 結合信息資產本身或管理工作 的弱點或漏洞及面臨的威脅， 考察目前已采取的控制措施， 確定信息系統(tǒng)或管理工作有可 能出現(xiàn)的問題（風險）； 對可能出現(xiàn)的問題進行排序， 確定風險的優(yōu)先級和控制水平 提交公司安全現(xiàn)狀風險報告， 提供風險列表，歸類風險等級 結束41 34 企業(yè)通用業(yè)頻道 事例：綜合結算系統(tǒng)資產風險評估表 序號信息資產類別資產詳細名稱資產本身存在的弱點或漏洞資產存在的外部威脅威脅發(fā)生的可能性威脅發(fā)生的后果目前采取的控制措施確定可能會出現(xiàn)的問題（風險）確定風險的優(yōu)先級風險的控制水平提出整改建議易受參數配置的影響產生錯誤可能遭到非法訪問或數據竄改 小1 、業(yè)務連續(xù)性受到影響2 、業(yè)務數據的真實性受影響1 、適當設置安全參數并定期檢查2 、正確設置其他參數3 、定期的參數復核檢查流程 很低 無硬件有一定的故障幾率 設備硬件老化 小1 、業(yè)務連續(xù)性受到影響2 、硬件重新購置的費用1 、維保合同2 、雙機等冗余配置 很低 無易受電源、溫度等不穩(wěn)定影響。 ? 依據風險管理理論，我們將信息系統(tǒng)分為實物、軟件、信息、服務等四類資產，從資產本身的弱點或漏洞、資產存在的外部威脅、威脅發(fā)生的可能性、威脅發(fā)生的后果、目前采取的措施等五個方面，建立 《 信息系統(tǒng)風險評估矩陣 》 ，組織公司所屬各單位對各個信息系統(tǒng)進行安全風險評估，找出目前信息系統(tǒng)存在的隱患，以應用系統(tǒng)為單位，制定針對性應急預案，進行模擬演練，并保留演練文檔。 41 32 企業(yè)通用業(yè)頻道 六、開展信息系統(tǒng)風險評估，模擬演練預案。 ? 在上述工作基礎上， 20xx年，網通河北省分公司 IT內控工作組兩次對全省各單位進行內控測試工作。 變更管理員職責； 信息系統(tǒng)服務支撐部門職責。 《 信息系統(tǒng)變更申請 》 ； 《 信息系統(tǒng)變更方案 》 ； 《 變更通知單 》 ； 《 信息系統(tǒng)變更計劃 》 ； 《 應急回退方案和回退時間點 》 ； 《 備份記錄 》 ； 《 信息系統(tǒng)變更版本控制記錄 》 ；
教學課件相關推薦
鄂ICP備17016276號-1