信息系統(tǒng)的應(yīng)用過程-展示頁
2025-03-06 17:14本頁面
【正文】 綜合控制主要包括以下幾類：? 組織和管理（高水平的信息技術(shù)政策和標(biāo)準(zhǔn)）；? 職責(zé)分離；? 物理控制（接觸與環(huán)境控制）；? 邏輯訪問控制；? 系統(tǒng)開發(fā)和程序修改；? 對計算機人員（包括程序員、系統(tǒng)分析員和計算機操作人員）的控制（包括內(nèi)部和外部信息技術(shù)服務(wù)）；? 確保計算機系統(tǒng)可用性的控制；? 對最終用戶計算的控制。他們并不針對某一特別的交易流或財務(wù)應(yīng)用系統(tǒng)。在此基礎(chǔ)上可以進(jìn)一步增加應(yīng)用控制。 ? 綜合控制是最低水平的控制。16綜合控制與應(yīng)用控制? 綜合控制是對組織各部門設(shè)計、安全、使用計算機程序的總體上的控制。 15糾正控制 糾正控制的作用包括：? 降低威脅的影響；? 對發(fā)現(xiàn)的問題進(jìn)行補救；? 確認(rèn)問題的原因；? 修正已發(fā)問題引起的錯誤；? 修改處理系統(tǒng)，降低將來再次發(fā)生問題的可能性。14發(fā)現(xiàn)性控制 用于檢測發(fā)生的錯誤、遺漏或者欺詐、作弊行為，并就當(dāng)前狀態(tài)作出匯報。13預(yù)防性控制 作用：? 檢查發(fā)現(xiàn)未發(fā)生的問題；? 監(jiān)督操作和輸入；? 在問題發(fā)生之前及時預(yù)測和調(diào)整；? 避免錯誤、疏漏和欺詐行為的發(fā)生。? 重復(fù)操作有報告? 文件都經(jīng)過充分備份，以備正確的恢復(fù)。? 所有的操作都有記錄，并且都是在正確的時間段進(jìn)行的。12一些信息系統(tǒng)控制目標(biāo)：? 到目前為止自動系統(tǒng)上的數(shù)據(jù)一直被正確的處理和保存，從而處于安全狀態(tài)。10? 控制的基本概念? 物理控制與環(huán)境控制? 邏輯訪問控制? 網(wǎng)絡(luò)控制與互聯(lián)網(wǎng)的使用11控制的基本概念? 控制是為實現(xiàn)企業(yè)目標(biāo)，避免、檢查、糾正不受歡迎事件發(fā)生提供合理擔(dān)保的政策、措施和組織結(jié)構(gòu)。 8整體風(fēng)險整體風(fēng)險是對企業(yè)風(fēng)險的整體評價，通常做法是：∑影響 可能性 9剩余風(fēng)險 剩余風(fēng)險是采用控制以后所遺留的風(fēng)險水平。 3風(fēng)險審計管理過程4信息系統(tǒng)資產(chǎn)? 信息和數(shù)據(jù)? 硬件? 軟件? 服務(wù)? 文檔? 人員另外還有一些需要考慮的傳統(tǒng)資產(chǎn)包括：建筑物、存貨、資金和無形資產(chǎn)等。信息系統(tǒng)審計信息系統(tǒng)審計（信息系統(tǒng)風(fēng)險管理和持續(xù)性計劃）（信息系統(tǒng)風(fēng)險管理和持續(xù)性計劃） 楊 烺 （ CISA）國際注冊信息系統(tǒng)審計師 1主要內(nèi)容：? 信息系統(tǒng)的風(fēng)險? 信息系統(tǒng)運行的安全控制– 物理控制與環(huán)境控制– 邏輯訪問控制– 網(wǎng)絡(luò)控制? 持續(xù)性計劃 （災(zāi)難恢復(fù)計劃）? 信息系統(tǒng)的應(yīng)用控制2風(fēng)險的概念：風(fēng)險是發(fā)生某種威脅使資產(chǎn)損失或破壞的潛在可能。風(fēng)險的概念包括以下內(nèi)容：? 威脅、薄弱點、處理過程或資產(chǎn)；? 對資產(chǎn)基于威脅和薄弱點的影響；? 襲擊的可能性。5信息的潛在威脅? 錯誤? 惡意破壞? 欺詐? 盜竊? 軟硬件故障6信息系統(tǒng)的薄弱點? 用戶缺乏知識? 缺乏安全措施? 口令缺少變化? 未經(jīng)測試的技術(shù)? 無保護(hù)的數(shù)據(jù)傳輸7威脅一旦發(fā)生所造成的影響? 直接的經(jīng)濟(jì)損失? 違反法律? 名譽聲望受損? 員工或客戶受到威脅? 信心受損? 商業(yè)機會的損失? 經(jīng)營效率與性能的降低? 商業(yè)經(jīng)營中斷。管理人員使用剩余風(fēng)險確認(rèn)某些地方是否需要更多的控制措施以進(jìn)一步降低風(fēng)險。? 控制目標(biāo)是通過實施控制過程要達(dá)到的目的或結(jié)果。? 每項操作都經(jīng)過授權(quán)，并且只處理一次。? 所有的拒絕操作都有報告。? 對軟件的所有變動都經(jīng)核實，并進(jìn)行了測試。信息系統(tǒng)中常見的預(yù)防性控制 ? 只雇傭經(jīng)過良好訓(xùn)練，具備任職資格的人員；? 職責(zé)分離；? 對接觸或訪問各種物理設(shè)備進(jìn)行控制；? 使用設(shè)計規(guī)范的文檔；? 建立適當(dāng)?shù)慕唤邮跈?quán)過程；? 程序化的編輯檢查；? 使用訪問控制軟件，只有獲得授權(quán)的人員才能訪問敏感文件。信息系統(tǒng)中常見的發(fā)現(xiàn)性控制有：? 哈西總數(shù)（ hash totals）；? 生產(chǎn)過程中的檢測點（ check points）；? 遠(yuǎn)程通信中的回叫（ echo）控制；? 重復(fù)的計算檢查；? 定期報告各種變化和不一致；? 內(nèi)部審計職能。信息系統(tǒng)中常見的糾正控制包括：? 意外事故計劃；? 備份過程；? 系統(tǒng)重啟過程。? 應(yīng)用控制是各個計算機應(yīng)用程序中的特別的控制。綜合信息技術(shù)控制形成了一個整體控制信息技術(shù)行為和確保整體控制目標(biāo)的框架。17綜合控制與應(yīng)用控制18信息系統(tǒng)的綜合控制 ? 綜合信息技術(shù)控制主要關(guān)注企業(yè)的信息技術(shù)基礎(chǔ)，包括任何與信息技術(shù)相關(guān)的政策、過程和工作實踐。大多數(shù)情況下，綜合控制的元素主要集中在信息技術(shù)部門或相似部門。20應(yīng)用控制 應(yīng)用控制特別針對某個應(yīng)用系統(tǒng)，并對交易事務(wù)的處理產(chǎn)生直接的影響。由于應(yīng)用控制與交易流存在關(guān)系，因此通常包括：? 交易（ transactions）輸入的控制；? 處理控制；? 輸出控制；? 固定數(shù)據(jù)（ standing data）和主文件的控制。? 環(huán)境控制：是用于保護(hù)計算機軟硬件，避免其受到火災(zāi)、水災(zāi)、灰塵、電源事故傷害的行為和過程。? （ 2）環(huán)境風(fēng)險? 水災(zāi)或火災(zāi)破壞，以及其他自然災(zāi)害的破壞；? 電源掉電導(dǎo)致內(nèi)存數(shù)據(jù)丟失；? 電壓不穩(wěn)導(dǎo)致系統(tǒng)故障、處理錯誤和設(shè)備部件的損壞；? 由于溫度、濕度惡劣導(dǎo)致系統(tǒng)故障；? 炸彈破壞；? 靜電破壞敏感的電子部件；? 其他諸如。23物理控制 三個方面：? 安全區(qū)的物理控制 ? 管理控制 ? 門禁系統(tǒng)（ locks on doors） 24安全區(qū)的物理控制 ? 物理訪問安全應(yīng)基于信息技術(shù)設(shè)備所處區(qū)域的定義。管理區(qū)域的定義應(yīng)該清晰明白，雇員能夠意識到它的邊界。 25管理控制 ? 雇員佩帶身份或姓名證章；? 解除辭退人員的訪問權(quán)限；? 來訪人員必須登記，包括他是誰，在哪工作，找誰、來訪時間、離開時間等。? 辦公室無人照管時的控制過程。26門禁系統(tǒng)（ locks on doors） 常見的門禁
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1