信息系統(tǒng)風(fēng)險(xiǎn)管理和持續(xù)性計(jì)劃-展示頁(yè)
2025-03-10 23:52本頁(yè)面
【正文】 ? 系統(tǒng)開(kāi)發(fā)和程序修改； ? 對(duì)計(jì)算機(jī)人員（包括程序員、系統(tǒng)分析員和計(jì)算機(jī)操作人員）的控制（包括內(nèi)部和外部信息技術(shù)服務(wù)）； ? 確保計(jì)算機(jī)系統(tǒng)可用性的控制； ? 對(duì)最終用戶(hù)計(jì)算的控制。他們并不針對(duì)某一特別的交易流或財(cái)務(wù)應(yīng)用系統(tǒng)。在此基礎(chǔ)上可以進(jìn)一步增加應(yīng)用控制。 ? 綜合控制是最低水平的控制。 17 綜合控制與應(yīng)用控制 ? 綜合控制是對(duì)組織各部門(mén)設(shè)計(jì)、安全、使用計(jì)算機(jī)程序的總體上的控制。 16 糾正控制 糾正控制的作用包括： ? 降低威脅的影響； ? 對(duì)發(fā)現(xiàn)的問(wèn)題進(jìn)行補(bǔ)救； ? 確認(rèn)問(wèn)題的原因； ? 修正已發(fā)問(wèn)題引起的錯(cuò)誤； ? 修改處理系統(tǒng)，降低將來(lái)再次發(fā)生問(wèn)題的可能性。 15 發(fā)現(xiàn)性控制 用于檢測(cè)發(fā)生的錯(cuò)誤、遺漏或者欺詐、作弊行為，并就當(dāng)前狀態(tài)作出匯報(bào)。 14 預(yù)防性控制 作用： ? 檢查發(fā)現(xiàn)未發(fā)生的問(wèn)題； ? 監(jiān)督操作和輸入； ? 在問(wèn)題發(fā)生之前及時(shí)預(yù)測(cè)和調(diào)整； ? 避免錯(cuò)誤、疏漏和欺詐行為的發(fā)生。 ? 重復(fù)操作有報(bào)告 ? 文件都經(jīng)過(guò)充分備份，以備正確的恢復(fù)。 ? 所有的操作都有記錄，并且都是在正確的時(shí)間段進(jìn)行的。 13 一些信息系統(tǒng)控制目標(biāo)： ? 到目前為止自動(dòng)系統(tǒng)上的數(shù)據(jù)一直被正確的處理和保存，從而處于安全狀態(tài)。 11 ? 控制的基本概念 ? 物理控制與環(huán)境控制 ? 邏輯訪(fǎng)問(wèn)控制 ? 網(wǎng)絡(luò)控制與互聯(lián)網(wǎng)的使用 12 控制的基本概念 ? 控制是為實(shí)現(xiàn)企業(yè)目標(biāo)，避免、檢查、糾正不受歡迎事件發(fā)生提供合理?yè)?dān)保的政策、措施和組織結(jié)構(gòu)。 9 整體風(fēng)險(xiǎn) 整體風(fēng)險(xiǎn)是對(duì)企業(yè)風(fēng)險(xiǎn)的整體評(píng)價(jià)，通常做法是： ∑影響 可能性 10 剩余風(fēng)險(xiǎn) 剩余風(fēng)險(xiǎn)是采用控制以后所遺留的風(fēng)險(xiǎn)水平。 4 風(fēng)險(xiǎn)審計(jì)管理過(guò)程 5 信息系統(tǒng)資產(chǎn) ? 信息和數(shù)據(jù) ? 硬件 ? 軟件 ? 服務(wù) ? 文檔 ? 人員 另外還有一些需要考慮的傳統(tǒng)資產(chǎn)包括：建筑物、存貨、資金和無(wú)形資產(chǎn)等。1 信息系統(tǒng)審計(jì) （信息系統(tǒng)風(fēng)險(xiǎn)管理和持續(xù)性計(jì)劃） 楊 烺 （ CISA） 國(guó)際注冊(cè)信息系統(tǒng)審計(jì)師 2 主要內(nèi)容： ? 信息系統(tǒng)的風(fēng)險(xiǎn) ? 信息系統(tǒng)運(yùn)行的安全控制 – 物理控制與環(huán)境控制 – 邏輯訪(fǎng)問(wèn)控制 – 網(wǎng)絡(luò)控制 ? 持續(xù)性計(jì)劃（災(zāi)難恢復(fù)計(jì)劃） ? 信息系統(tǒng)的應(yīng)用控制 3 風(fēng)險(xiǎn)的概念：風(fēng)險(xiǎn)是發(fā)生某種威脅使資產(chǎn)損失或破壞的潛在可能。 風(fēng)險(xiǎn)的概念包括以下內(nèi)容： ? 威脅、薄弱點(diǎn)、處理過(guò)程或資產(chǎn)； ? 對(duì)資產(chǎn)基于威脅和薄弱點(diǎn)的影響； ? 襲擊的可能性。 6 信息的潛在威脅 ? 錯(cuò)誤 ? 惡意破壞 ? 欺詐 ? 盜竊 ? 軟硬件故障 7 信息系統(tǒng)的薄弱點(diǎn) ? 用戶(hù)缺乏知識(shí) ? 缺乏安全措施 ? 口令缺少變化 ? 未經(jīng)測(cè)試的技術(shù) ? 無(wú)保護(hù)的數(shù)據(jù)傳輸 8 威脅一旦發(fā)生所造成的影響 ? 直接的經(jīng)濟(jì)損失 ? 違反法律 ? 名譽(yù)聲望受損 ? 員工或客戶(hù)受到威脅 ? 信心受損 ? 商業(yè)機(jī)會(huì)的損失 ? 經(jīng)營(yíng)效率與性能的降低 ? 商業(yè)經(jīng)營(yíng)中斷。 管理人員使用剩余風(fēng)險(xiǎn)確認(rèn)某些地方是否需要更多的控制措施以進(jìn)一步降低風(fēng)險(xiǎn)。 ? 控制目標(biāo)是通過(guò)實(shí)施控制過(guò)程要達(dá)到的目的或結(jié)果。 ? 每項(xiàng)操作都經(jīng)過(guò)授權(quán)，并且只處理一次。 ? 所有的拒絕操作都有報(bào)告。 ? 對(duì)軟件的所有變動(dòng)都經(jīng)核實(shí)，并進(jìn)行了測(cè)試。 信息系統(tǒng)中常見(jiàn)的預(yù)防性控制 ? 只雇傭經(jīng)過(guò)良好訓(xùn)練，具備任職資格的人員； ? 職責(zé)分離； ? 對(duì)接觸或訪(fǎng)問(wèn)各種物理設(shè)備進(jìn)行控制； ? 使用設(shè)計(jì)規(guī)范的文檔； ? 建立適當(dāng)?shù)慕唤邮跈?quán)過(guò)程； ? 程序化的編輯檢查； ? 使用訪(fǎng)問(wèn)控制軟件，只有獲得授權(quán)的人員才能訪(fǎng)問(wèn)敏感文件。 信息系統(tǒng)中常見(jiàn)的發(fā)現(xiàn)性控制有： ? 哈西總數(shù)（ hash totals）； ? 生產(chǎn)過(guò)程中的檢測(cè)點(diǎn)（ check points）； ? 遠(yuǎn)程通信中的回叫（ echo）控制； ? 重復(fù)的計(jì)算檢查； ? 定期報(bào)告各種變化和不一致； ? 內(nèi)部審計(jì)職能。 信息系統(tǒng)中常見(jiàn)的糾正控制包括： ? 意外事故計(jì)劃； ? 備份過(guò)程； ? 系統(tǒng)重啟過(guò)程。 ? 應(yīng)用控制是各個(gè)計(jì)算機(jī)應(yīng)用程序中的特別的控制。綜合信息技術(shù)控制形成了一個(gè)整體控制信息技術(shù)行為和確保整體控制目標(biāo)的框架。 18 綜合控制與應(yīng)用控制 審計(jì)線(xiàn)索 固定數(shù)據(jù)輸入 處理 輸出應(yīng)用控制物理與環(huán)境控制操作系統(tǒng)控制員工的選擇、考評(píng)和培訓(xùn)網(wǎng)絡(luò)訪(fǎng)問(wèn)控制系統(tǒng)安全與內(nèi)部審計(jì)信息技術(shù)控制框架19 信息系統(tǒng)的綜合控制 ? 綜合信息技術(shù)控制主要關(guān)注企業(yè)的信息技術(shù)基礎(chǔ)，包括任何與信息技術(shù)相關(guān)的政策、過(guò)程和工作實(shí)踐。大多數(shù)情況下，綜合控制的元素主要集中在信息技術(shù)部門(mén)或相似部門(mén)。 21 應(yīng)用控制 應(yīng)用控制特別針對(duì)某個(gè)應(yīng)用系統(tǒng)，并對(duì)交易事務(wù)的處理產(chǎn)生直接的影響。由于應(yīng)用控制與交易流存在關(guān)系，因此通常包括： ? 交易（ transactions）輸入的控制； ? 處理控制； ? 輸出控制； ? 固定數(shù)據(jù)（ standing data）和主文件的控制。 ? 環(huán)境控制：是用于保護(hù)計(jì)算機(jī)軟硬件，避免其受到火災(zāi)、水災(zāi)、灰塵、電源事故傷害的行為和過(guò)程。 ? （ 2）環(huán)境風(fēng)險(xiǎn) ? 水災(zāi)或火災(zāi)破壞，以及其他自然災(zāi)害的破壞； ? 電源掉電導(dǎo)致內(nèi)存數(shù)據(jù)丟失； ? 電壓不穩(wěn)導(dǎo)致系統(tǒng)故障、處理錯(cuò)誤和設(shè)備部件的損壞； ? 由于溫度、濕度惡劣導(dǎo)致系統(tǒng)故障； ? 炸彈破壞； ? 靜電破壞敏感的電子部件； ? 其他諸如。 24 物理控制 三個(gè)方面： ? 安全區(qū)的物理控制 ? 管理控制 ? 門(mén)禁系統(tǒng)（ locks on doors） 25 安全區(qū)的物理控制 ? 物理訪(fǎng)問(wèn)安全應(yīng)基于信息技術(shù)設(shè)備所處區(qū)域的定義。管理區(qū)域的定義應(yīng)該清晰明白，雇員能夠意識(shí)到它的邊界。 26 管理控制 ? 雇員佩帶身份或姓名證章； ? 解除辭退人員的訪(fǎng)問(wèn)權(quán)限；
外語(yǔ)相關(guān)推薦
鄂ICP備17016276號(hào)-1